Tr0y's Blog

自从我跳出 技术 == 计算机技术 的牢笼之后，就一直想在博客里加入一些别的“技术活”，从今天起，博客会新增一个标签：生活黑客 用于单独存放这类文章。

SecMap 系列之 Flask，本篇介绍 flask 相关的攻击手法。

好久不见！

我们在 22 年 11 月向行业公开发布了《数字银行可信纵深防御白皮书》，其实本文早在那个时候就想写了，但是我总觉得酝酿得不够充分，加上 23 年一开始工作强度就比较大，直到最近才有一点时间可以好好总结下（好久没写文章了嗷）；并且最近我们网商安全的新书即将发布，我想在新书发布之前，来打一个头阵，做点力所能及的宣传。

上周的强网杯 2023 没准备参加，一个是去年帮忙打 ctf 打得实在是有点累了；第二个是上周末有其他比赛冲突了，所以也没时间看题。偶然在公众号推送上看到了强网杯的 wp 提到了有几道 python 题，还是忍不住来玩一玩。

parselmouth —— 自动化的 Python 沙箱逃逸 payload bypass 框架

诸位看官里面请，一则故事即将开场

在真正落笔写一篇文章之前，很久没有这么兴奋的感觉了。这篇文章是在多个机缘巧合的促使下的，细细评味还真是妙不可言

这篇其实有《OrangeKiller CTF 第 3 期》中所有需要的知识点，也算 wp 了。提前祝各位国庆快乐！