2026.03.27.周五#

明天就是星盟的招新赛了，之前在寒假就在通过星盟的视频学pwn，没想到还有招新赛，也算是为这一个月多的pwn学习之旅做一个小结。

本身我确实的想法就是，将pwn的能力提上来一些，以便于个人赛时不至于打不了pwn，pwn确实是很难，相较于其他方向，pwn入门还得搞懂一下程序的执行流啊，栈分布啊，寄存器功能啊，反汇编源码的理解啊等等，这些都很花时间。

不过我也是坚持了下来，pwn的所有题目都不开脚本，除非遇到一些签到题nc一下就有shell的，其他的题目都需要写脚本，很麻烦，不过这也是一种提升，我目前的手搓能力也有了很大的提升，之前的水平还只是打打一些覆盖返回地址的，现在rop，orw，绕canary，绕pie的还挺熟练，对于动态调试的理解也有了很大的进步，有下时间就有收获嘛。

虽然前段时间有点被ai搞的破防了，不过现在也是勉强跳转回来了。

昨天跟学长交流了一下，确实同时进行 web 和 pwn 的学习消耗的时间是难以估量的，有时候面对一题 pwn 的wp都要花上几个小时的时间理解漏洞，学会代码写法，进展确实不快，这还是我基本全花时间在 pwn 的情况下，如果在加上 web ，那确实是难以维持一个比较高效的程度。

所以，就先回 web 好好学习了。

2026.04.02.周四#

差不多一周时间了，讲一讲自己干了什么。

上篇周记写过了，星盟招新赛，打完后，wp从周日开始写，到周一晚才写完，说来尬尴，昨天还是前天，复盘时发现了我web题的wp少写了一题，有点无语自己的记性了。

周二和周三基本都在研究比赛时没出两题的其中一题，叫做头像上传器，另一题没出的是一题实战渗透，感觉不是我现在能理解的。

那一题头像上传器涉及了一个漏洞，具体讲就是在php中存在一个函数可以做到最多四个字节的读取溢出，在这道题中的作用便是在找到接口后可以打php-fitter链做出来。

但目前是还没有成功的。

如果今天没出，那么之后我会开始研究一下比赛时能起到作用的脚本，比如文件上传类题目时直接用脚本测试什么文件的代码能被执行，记录一下些原型链污染的链，xss也会稍微看一看，争取准备一两个脚本类的。

之后的方向应该是在php反序列化和pop链上，争取掌握魔术函数。

2026.04.06.周一#

昨天刚打了nctf，依旧是被打爆的一天，撕，大家都全战的大手子。

我web差一题，pwn差两道。

pwn还是没有将知识点过完，堆溢出后面的带着ai也没有打进去。

web差的那一道是传输接受协议的题目，没有做过，所以不会，感觉还算是能接受。

不过值得吐槽的一点就是NCTF的靶机嘎嘎掉，我pwn明明都在本地通完了，看着有个三血，结果因为远程服务器一直连不上，只能眼睁睁的看着血消失。

服了。。。。。。

2026.04.13.周一#

数字中国勉强拿了个第四，也算是对这种大型比赛的赛题和赛制多点了解。

题量不多，重在精，和出。

复盘来看，就是知识点没学完，一个区块链根本不会，一个pwn的堆溢出一知半解，做不出来。

也算是对目前的自己的进度有了一个大致的掌握。

然后就是吐槽，上个月月底的星盟招新。

没想到过了半个月过来ban我，因为一个逆向题。

我自己都觉得是问题的web没来问，倒是来问这个，而且还是这么久之后，打nctf，数字中国之后我哪里还记得他们的题目。

嗯，看来审核得很认真了。

2026.04.15.周三#

嗯，数字中国出成绩了，取前三，刚好卡了一个第四，没碰到，可惜了，不然就是第一次线下比赛了，虽然过去也做不出什么题目，当个旅游就是了，不过福师大过去也不算就是了。

讲讲目前的进度吧。

目前php的反序列化基本也过一遍了，要真碰上题目，配合上博客是可以出的。

但是还在这边混，就是因为经验不是很够，好不容易研究透了，又会遇到一些奇怪的反序列化接口，比如最近比较经常看到的session注入反序列化，这我怎么知道。

在研究会，然后就可以去文件上传那边看一看。

看完后就往rce走走，然后也积累积累脚本。

2026.04.18.周六#

最近明显感觉累多了，学一会就累了，睡也睡得久，不知道是什么问题。

先来讲一下最近的，虽然最近高强度写周记也不是最近，就是现在，转去看文件上传了，说实话，感觉这些思路自己都懂，就是纯靠自己出不来题，也是菜了。

古法做题，古法做题，到底要怎么只靠自己纯出题，哪些难一点的，就是它的漏洞点，我都不知道，怎么能出题？

感觉就是一个经验不够的问题，不靠网络，纯靠自己，我实在是难以看到漏洞点，至于看到漏洞点之后的解题思路，我倒是可以很快就明白。

像是之前打isctf时候，一个mv产生的移动碰撞shell，那个懂了，也是差一点，不过那一题是最接近自己出题的，虽然脚本不是自己写的。

也是，除了思路这块，脚本能力也要拉一拉。

加油吧，看了好多天才少年的博客，感觉自己就是没天赋，多努力吧。

探姬师傅还是太权威了。

• 版权声明：本文由 余林阳 创作，转载请注明出处。