XDSEC 个人周报 0x02+SQL 学习

~~这周的事儿，就下周再做吧~~

SQL 学习

CURD

创建（Create）
更新（Update）
读取（Retrieve）
删除（Delete）

Sqlmap
https://github.com/sqlmapproject/sqlmap

XDSEC 个人周报 0x03

~~这周的事儿，就下周再做吧~~

第一周任务如下安排：

①自行了解 misc 中各个方向，对简单题型有基本了解

②学会科学上网，能够运用 google 进行搜索资料

③根据搜索资料自行准备相关必要工具，如十六进制浏览器、kali 及其中包含的工具、多种压缩解压软件，如 7z，winrar

④有能力的同学可以去 buuctf/攻防世界做题，buu 中 misc 第一行/攻防世界 misc 新手区 1～4 题，并记录 wp，总结题目中涉及的知识点

Google Hack

kali 的使用

XDSEC 个人周报 0x04

~~这周的事儿，就下周再做吧~~

Web

《如果让你来设计网络》

你管这破玩意儿叫 TCP？

Python 格式化字符串漏洞

python >= 3.6

基础知识

示例：

# str = '{"a":"1", "b": 2}'
# json_data = eval(str)
#
# print(type(json_data))
# print(json_data)


evil_str = '{"a": f"test {__import__(\'os\').system(\'whoami\')}"}'
json_data = eval(evil_str)

print(type(json_data))
print(json_data)

Web 组会作业

用 python 实现一个简单的模版渲染，比如可以用 replace/正则+eval，并试着编写一个可以执行 ls 命令的模版。不用写得太复杂，100 行以内

XDSEC 个人周报 0x05

2021-3-1 ~ 2021-3-7

2021 春季学期第一周

学习寒假组会的遗留内容：

gbd、x64dbg 等动态调试工具的使用
IDA 的使用
调试 - 反调试 - 反反调试技术
misc 了解
虚拟机使用
docker docker——从入门到实践
misc 编码&加密 参考编码&加密.md

其余学习内容：

小知识：

htop
tracert
os.urandom /dev/[u]random：对熵的解释

XDSEC 个人周报 0x06

2021-3-8 ~ 2021-3-21

2021 春季学期第二、三周

2021-3-21 组会内容

JavaScript 原型链污染

学习寒假组会的遗留内容：

web
- 文件包含漏洞（FILE include）
  - PHP 伪协议
  - php 伪协议的其他用法
    - file_get_contents() 和 file_put_contents() 场景下的利用
    - 利用伪协议绕过 waf
  - 无上传点的 PHP 文件包含的利用方式
    - session_upload_progress
    - session 文件包含
    - PHP 临时文件包含
    - 包含日志文件
  - 其他场景下的文件包含漏洞
    - 如 Tomcat AJP 协议文件包含漏洞
    - RealWorld Vuln
- 文件上传漏洞（File Upload）
- 服务端请求伪造（SSRF）
- XML 外部实体注入（XXE）

参考XDSEC-寒假-Web-02.pptx进一步学习

misc
- 文件结构与破解
  - zip
  - PDF - 破解工具：pdfcrack \ wbstego
  - jpg
  - png
  - apng
  - git
  - WebP
  - pcapng 等流量包分析
  - docx（Word 选项 - 隐藏文字）

参考 ga1axy 的博客

二进制
- 一些内容

一些计划：

水课时间阅读《程序员的自我修养》（首先第一章第十章）
学习 web 基础知识，尝试建立起自己的一个服务器

MARK

关于栈溢出和 rop
http://www.vuln.cn/6645
http://www.vuin.cn/6644
http://www.vuln.cn/6643

常见的漏洞利用
https://ctf-Wiki.org/pwn/readme/

其他学习

单片机基础知识
- 主要学习中断的使用
- 实现了一个测量频率的程序

XDSEC 个人周报 0x07

2021-3-22 ~ 2021-4-4

2021 春季学期第四、五周

2021-3-28 组会内容

XSS
以及一些其他内容

Web

最近好像没干什么 qwq
解决了 VSCode x SSH 的一个历史遗留问题 （Remote-SSH 配置文件不能有中文路径）

其他学习内容

嵌入式
- STM32F1xx 学习
- 树莓派学习 （感谢豪气空间院提供的树莓派 4b8G 版）

XDSEC 个人周报 0x08+ 思想教育

2021-4-5 ~ 2021-4-11

2021 春季学期第六周