A blog about CTF writeups, Linux, Mathematics, Technology, and personal thoughts.https://k174.dev/zh-CNThu, 22 Oct 2026 14:16:04 GMThttps://k174.dev/securinets2026qual-rabbithole/https://k174.dev/securinets2026qual-rabbithole/Challenge id22，Osint，9 个递进问题，没有附件。每一问的答案都是下一问的入口，最后一问落到一位从业者的公开自述上。题面要求把 9 个答案按下标顺序用下划线拼接，多词答案去掉空格，血型字母保持大写，日期用 YYYY-MM-DD 。难点在第 2 问的影片定位与第 Thu, 22 Oct 2026 14:16:04 GMTctfsecurinetswriteuposintresearch-chainhttps://k174.dev/orange/https://k174.dev/orange/Challenge The page takes a url parameter, appends .txt , and includes it after a stack of URL checks. 页面接收 url 参数，追加 .txt 后经过一串 URL 校验再 inclTue, 06 Oct 2026 07:12:16 GMTctfwriteupwebssrfrfihttps://k174.dev/child-toctou/https://k174.dev/child-toctou/Challenge The page is a web shell whose front end posts commands to a JSON endpoint. 页面是一个 WebShell，前端把命令发到 JSON endpoint。 前端脚本把输入发到： 页面显示提示Sat, 03 Oct 2026 08:59:46 GMTctfwriteupwebdns-rebindingtoctouhttps://k174.dev/old-47/https://k174.dev/old-47/Challenge The mail form puts subject straight into the mail header. 发信表单把 subject 直接放进邮件头。 Analysis 表单只有 subject 一个字段，提交后回显 Mail has been seSat, 03 Oct 2026 05:37:21 GMTctfwriteupwebsmtp-injectionhttps://k174.dev/old-30/https://k174.dev/old-30/Challenge Understand database connection hijacking through upload configuration. 分析通过上传配置劫持数据库连接的机制。 Analysis 入口每次请求都会分配一个会话专属目录，并把上传的表单指向它：Sat, 03 Oct 2026 05:00:49 GMTctfwriteupwebdatabasehttps://k174.dev/old-35/https://k174.dev/old-35/Challenge Bypass the phone-number insert with SQL injection. 通过 SQL injection 绕过电话号码写入。 Analysis ?view source=1 给出源码： phone 直接拼入 VALUES 的第三个Sat, 03 Oct 2026 05:00:44 GMTctfwriteupwebsql-injectionhttps://k174.dev/baby-toctou/https://k174.dev/baby-toctou/Challenge The page is a web shell whose front end posts commands to a JSON endpoint. 页面是一个 WebShell，前端把命令发到 JSON endpoint。 前端脚本把输入发到： 页面显示提示Fri, 02 Oct 2026 06:14:17 GMTctfwriteupwebhttps://k174.dev/4xx/https://k174.dev/4xx/Challenge The page collects nine KEY{ } values and renders a flag image. 页面收集九个 KEY{ } 值，并渲染一张 flag 图片。 页面标题是 Get 4XX for flag ，表单字段为 key1 到Fri, 02 Oct 2026 06:14:09 GMTctfwriteupwebhttps://k174.dev/old-37/https://k174.dev/old-37/Challenge Redirect the flag-bearing request from the server to a listener under your control. 将携带 flag 的服务端请求重定向到可控的监听端点。 Solution 服务端先创建 tmThu, 01 Oct 2026 04:48:39 GMTctfwriteupwebssrfhttps://k174.dev/old-31/https://k174.dev/old-31/Challenge Receive the callback sent to one port in the range 10000–10100. 接收服务端发送到 10000–10100 端口范围内某个端口的回连请求。 Solution 题目服务端会在 10000 到 1010Thu, 01 Oct 2026 04:48:14 GMTctfwriteupwebsockethttps://k174.dev/g00gle2/https://k174.dev/g00gle2/Challenge EN : It is hacking challenge. do "hack", do NOT request access. 这是道 hack 题，需要自己动手，不要申请访问权限。 题目是一张公开只读的 Google 表格。 A1 显示 FLAG{?????Thu, 01 Oct 2026 04:44:46 GMTctfwriteupwebhttps://k174.dev/g00gle1/https://k174.dev/g00gle1/Challenge 题目跳转到一个公开的 Google Form，目标是检查浏览器实际加载的页面源码和脚本，从客户端数据中找到 flag。 题目入口： Solution 在 chall.php 中找到 g00gle1 后，入口链接指向 Google Form。展开短链接后，实际页Thu, 01 Oct 2026 03:30:20 GMTctfwriteupwebhttps://k174.dev/old-04/https://k174.dev/old-04/Challenge Recover the preimage hidden behind repeated SHA-1 hashing. 恢复重复 SHA-1 哈希之前的原始值。 Analysis 源码每次请求生成一个 8 位随机数并拼接固定 salt： 页面显示的是 500 轮Sun, 27 Sep 2026 08:21:42 GMTctfwriteupwebsha1cudahttps://k174.dev/old-25-revenge/https://k174.dev/old-25-revenge/Challenge Read flag.txt despite the server-appended .php suffix. 在服务端自动追加 .php 的情况下读取 flag.txt 。 Analysis 题目会把 file 参数作为资源名并追加 .php 。普通 LFI Sun, 27 Sep 2026 07:59:07 GMTctfwriteupweblfiphpphp-filterhttps://k174.dev/ouroboros-golf/https://k174.dev/ouroboros-golf/Challenge Use a self-reproducing SQL expression (quine SQLi). 使用能生成自身的 SQL expression。 Analysis 服务端把 pw 放进单引号包围的查询，并要求查询结果中的 pw 与原始输入完全相等。普通Sun, 27 Sep 2026 07:59:07 GMTctfwriteupwebsql-injectionquinehttps://k174.dev/old-13/https://k174.dev/old-13/Challenge Extract the flag through the filtered blind SQL injection. 通过带过滤的 blind SQL injection 提取 flag。 Analysis no 参数进入 SQL 查询，页面用结果值区分真假。Sat, 26 Sep 2026 06:18:17 GMTctfwriteupwebblind-sql-injectionhttps://k174.dev/old-28/https://k174.dev/old-28/Challenge Read flag.php through an Apache upload directory. 通过 Apache 上传目录读取 flag.php 。 Analysis 上传处理器接受名为 .htaccess 的文件，并把文件放进可被 Apache 访问的Sat, 26 Sep 2026 06:18:17 GMTctfwriteupwebuploadapachehttps://k174.dev/old-43-revenge/https://k174.dev/old-43-revenge/Challenge Upload a file accepted by Imagick while preserving a PHP-capable filename. 上传一个能被 Imagick 接受、同时保留 PHP 文件名的文件。 Analysis 服务端检查上传文件的 Sat, 26 Sep 2026 06:18:17 GMTctfwriteupwebfile-uploadimagickhttps://k174.dev/old-44/https://k174.dev/old-44/Challenge Execute ls through a five-character POST field. 在五字符 POST 字段中执行 ls 。 Analysis 服务端只保留 id 的前五个字符，再拼入： 输入 ';ls' 的前五个字符仍是 ';ls' 。shellSat, 26 Sep 2026 06:18:17 GMTctfwriteupwebcommand-injectionhttps://k174.dev/old-57/https://k174.dev/old-57/Challenge Extract the flag stored in the secret field through a timing oracle. 通过 timing oracle 提取 secret 字段中的 flag。 Analysis 服务端把 se 直接拼入 ISat, 26 Sep 2026 06:18:17 GMTctfwriteupwebsql-injectionblind-sql-injection