Phat Mai Blog

About

Fri, 10 Apr 2026 00:00:00 +0000

$Whoami$

Pentester | Red Team Operator | Security Researcher

🎯 About Me

I’m a passionate cybersecurity professional specializing in penetration testing and red team operations. With a keen eye for vulnerabilities and a love for breaking (and fixing) things, I help organizations strengthen their security posture.

When I’m not hunting for vulnerabilities, you’ll find me writing technical blog posts, participating in CTF competitions, and contributing to the security community.

CVE-2026-1581 WordPress wpForo Forum Plugin is vulnerable to a high priority SQL Injection

Wed, 31 Dec 2025 00:00:00 +0700

CVE-2026-1581 WordPress wpForo Forum Plugin is vulnerable to a high priority SQL Injection

Overview

Published: 2026-02-19 CVE-ID: CVE-2026-1581 CVSS: 7.5 Affected Plugin: WordPress wpForo Forum Plugin Affected Versions: <= 2.4.14 Vulnerability Type: High priority SQL Injection CWE: CWE-89 Improper Neutralization of Special Elements used in an SQL Command.

Description

The wpForo Forum plugin for WordPress is vulnerable to time-based SQL Injection via the ‘wpfob’ parameter in all versions up to, and including, 2.4.14 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

CVE-2026-0702 WordPress VidShop Plugin <= 1.1.4 is vulnerable to a high priority SQL Injection

Tue, 30 Dec 2025 00:00:00 +0700

CVE-2026-0702 WordPress VidShop Plugin <= 1.1.4 is vulnerable to a high priority SQL Injection

VidShop Plugin Vulnerable to SQL Injection

Overview

Published: 2026-01-28
CVE-ID: CVE-2026-0702
CVSS: 7.5 High
Affected Plugin: VidShop Plugin
Affected Versions: <= 1.1.4
Vulnerability Type: High priority SQL Injection
CWE: CWE-89 Improper Neutralization of Special Elements used in an SQL Command

Description

The VidShop – Shoppable Videos for WooCommerce plugin for WordPress is vulnerable to time-based SQL Injection via the ‘fields’ parameter in all versions up to, and including, 1.1.4 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

CVE-2026-23550 WordPress Modular DS Plugin <= 2.5.1 is vulnerable to a high priority Privilege Escalation

Mon, 29 Dec 2025 00:00:00 +0700

CVE-2026-23550 WordPress Modular DS Plugin <= 2.5.1 is vulnerable to a high priority Privilege Escalation

WordPress Modular DS Plugin Privilege Escalation Vulnerability

Overview

Published: 2026-01-14
CVE-ID: CVE-2026-23550
CVSS: 10.0 Critical (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
Affected Plugin: WordPress Modular DS Plugin
Affected Versions: <= 2.5.1
Vulnerability Type: High priority Privilege Escalation
CWE: CWE-266 Incorrect Privilege Assignment

Description

Incorrect Privilege Assignment vulnerability in Modular DS allows Privilege Escalation.This issue affects Modular DS: from n/a through 2.5.1.

CVE-2026-3459 WordPress Drag and Drop Multiple File Upload – Contact Form 7 Plugin <= 1.3.9.5 is vulnerable to a high priority Arbitrary File Upload

Sun, 28 Dec 2025 00:00:00 +0700

CVE-2026-3459 WordPress Drag and Drop Multiple File Upload – Contact Form 7 Plugin <= 1.3.9.5 is vulnerable to a high priority Arbitrary File Upload

Overview

Published: 2026-03-05 CVE-ID: CVE-2026-3459 CVSS: 8.1 High Affected Plugin: Drag and Drop Multiple File Upload – Contact Form 7 Plugin Affected Versions: <= 1.3.9.5 Vulnerability Type: Arbitrary File Upload CWE: CWE-434 Unrestricted Upload of File with Dangerous Type

Description

The Drag and Drop Multiple File Upload - Contact Form 7 plugin for WordPress is vulnerable to arbitrary file uploads due to insufficient file type validation in the 'dnd_upload_cf7_upload' function in versions up to, and including, 1.3.7.3. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site’s server which may make remote code execution possible. This can be exploited if the form includes a multiple file upload field with ‘*’ as the accepted file type.

CVE-2026-2511 WordPress JS Help Desk Plugin <= 3.0.4 is vulnerable to a high priority SQL Injection

Sat, 27 Dec 2025 00:00:00 +0700

CVE-2026-2511 JS Help Desk – AI-Powered Support & Ticketing System <= 3.0.4 - Unauthenticated SQL Injection via ‘multiformid’ Parameter

Overview

Published: 2026-03-26 CVE-ID: CVE-2026-2511 CVSS: 7.5 High Affected Plugin: JS Help Desk – AI-Powered Support & Ticketing System Affected Versions: <= 3.0.4 Vulnerability Type: Unauthenticate SQL Injection CWE: CWE-89 Improper Neutralization of Special Elements used in an SQL Command

Description

The JS Help Desk – AI-Powered Support & Ticketing System plugin for WordPress is vulnerable to SQL Injection via the multiformid parameter in the storeTickets() function in all versions up to, and including, 3.0.4. This is due to the user-supplied multiformid value being passed to esc_sql() without enclosing the result in quotes in the SQL query, rendering the escaping ineffective against payloads that do not contain quote characters. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

CVE-2026-2232 Product Table and List Builder for WooCommerce Lite Vulnerable To Unauthenticated Time-Based SQL Injection

Fri, 26 Dec 2025 00:00:00 +0700

CVE-2026-2232 Product Table and List Builder for WooCommerce Lite Vulnerable To Unauthenticated Time-Based SQL Injection via ‘search’ Parameter

Overview

Published: 2026-02-19 CVE-ID: CVE-2026-2232 CVSS: 7.5 High Affected Plugin: Product Table and List Builder for WooCommerce Lite Affected Versions: <= 4.6.2 Vulnerability Type: Unauthenticate Time-Based SQL Injection CWE: CWE-89 Improper Neutralization of Special Elements used in an SQL Command

Description

The Product Table and List Builder for WooCommerce Lite plugin for WordPress is vulnerable to time-based SQL Injection via the ‘search’ parameter in all versions up to, and including, 4.6.2 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

WordPress HT Contact Form 7 Plugin <= 2.2.1 is vulnerable to a high priority Arbitrary File Upload

Thu, 25 Dec 2025 00:00:00 +0700

WordPress HT Contact Form 7 Plugin <= 2.2.1 is vulnerable to a high priority Arbitrary File Upload

Overview

Published: 2025-07-15 CVE-ID: CVE-2025-7340 CVSS: 10 Critical Affected Plugin: WordPress HT Contact Form 7 Plugin Affected Versions: <= 2.2.1 Vulnerability Type: High priority Arbitrary File Upload CWE: CWE-434 Unrestricted Upload of File with Dangerous Type

Description

The HT Contact Form Widget For Elementor Page Builder & Gutenberg Blocks & Form Builder. plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the temp_file_upload function in all versions up to, and including, 2.2.1. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site’s server which may make remote code execution possible.

CVE-2025-13329 File Uploader for WooCommerce

Wed, 24 Dec 2025 00:00:00 +0700

CVE-2025-13329 File Uploader for WooCommerce <= 1.0.3 - Unauthenticated Arbitrary File Upload via add-image-data

File Uploader for WooCommerce Plugin

Overview

Published: 2025-12-20
CVE-ID: CVE-2025-13329
Affected Plugin: File Uploader for WooCommerce
Affected Versions: <= 1.0.3
Vulnerability Type: Unauthenticated Arbitrary File Upload via add-image-data
CWE-434: CWE-434 Unrestricted Upload of File with Dangerous Type

Description

The File Uploader for WooCommerce plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the callback function for the ‘add-image-data’ REST API endpoint in all versions up to, and including, 1.0.3. This makes it possible for unauthenticated attackers to upload arbitrary files to the Uploadcare service and subsequently download them on the affected site’s server which may make remote code execution possible.

CVE-2025-68519 WordPress Brands for WooCommerce Plugin

Tue, 23 Dec 2025 00:00:00 +0700

CVE-2025-68519 WordPress Brands for WooCommerce Plugin <= 3.8.6.3 is vulnerable to SQL Injection

WordPress Brands for WooCommerce Plugin

Overview

Published: 2025-12-24
CVE ID: CVE-2025-68519
Affected Plugin: WordPress Brands for WooCommerce
Affected Versions: <= 3.8.6.3
Vulnerability Type: SQL Injection vulnerability

Description

Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’) vulnerability in BeRocket Brands for WooCommerce brands-for-woocommerce allows Blind SQL Injection.This issue affects Brands for WooCommerce: from n/a through <= 3.8.6.3.

CVE-2025-14770 – Unauthenticated SQL Injection via “city” Parameter

Mon, 22 Dec 2025 00:00:00 +0700

WordPress Shipping Rate By Cities Plugin

Overview

CVE ID: CVE-2025-14770
Affected Plugin: Shipping Rate By Cities
Affected Versions: ≤ 2.0.0
Vulnerability Type: Unauthenticated SQL Injection
Attack Vector: Network
Authentication Required: No

Description

The Shipping Rate By Cities WordPress plugin contains an unauthenticated SQL Injection vulnerability in versions up to 2.0.0. The issue originates from unsafe handling of the city parameter, which is concatenated directly into an SQL query without proper preparation.

Ysoserial Common Collections 3 Analyst (CC3)

Sun, 21 Dec 2025 00:00:00 +0700

Ysoserial Common Collections 3 Analyst (CC3)

Tổng quan

CC3 (CommonsCollections3) trong ysoserial là một gadget chain dựa trên thư viện Apache Commons Collections để kích hoạt hành vi nguy hiểm thông qua Java deserialization. Nó dựa vào cách một số lớp trong thư viện có thể được “xâu chuỗi” (chain) để thực thi logic ngoài ý muốn khi một đối tượng được deserialization.

SetUp Debug trong IntelliJ

Lúc tiến hành setup để có thể debug, phải chú ý rằng CC1 và CC3 đã không còn chạy được sau Java version 8u71, vì sau phiên bản java đó sun.reflect.annotation.AnnotationInvocationHandler đã thay đổi và không còn khả dụng. Vì vậy setup đẹp nhất là sử tải JDK 1.7 kèm theo đó là sử dụng Ysoserial Commons Collections version 3.1.

Velocity Server Side Template Injection Challenge

Sat, 20 Dec 2025 00:00:00 +0700

Velocity Server Side Template Injection Challenge

Tổng quan về lab Velocity SSTI

Đây là một lab mình thiết kế ra để demo và học về SSTI. Bên trong lab được chia ra làm 4 level với các lớp filter khác nhau. Nhiệm vụ của mình là bypass được các lớp bảo mật đó nhằm mục đích cuối cùng là RCE. Bây giờ mình sẽ đi vào phân tích chức năng của web app.

CBJS Java Misconfiguration Challenge

Fri, 19 Dec 2025 00:00:00 +0700

CBJS Java Misconfiguration Challenge

Statement Viewer 1: Lỗ hổng từ đặc quyền “Privileged” và sự hớ hênh của Admin

Tổng quan ứng dụng

Ứng dụng cung cấp chức năng cơ bản: cho phép người dùng upload file (định dạng PDF/TXT) và view statement để xem lại các tệp tin đã tải lên. Mỗi tệp tin được cấp một đường dẫn riêng biệt để truy xuất. Qua phân tích mã nguồn (Whitebox), chúng ta sẽ tập trung vào những "backdoor" mà developer đã bỏ quên.

Tryhackme Hammer challenge WriteUp

Thu, 18 Dec 2025 00:00:00 +0700

TryHackMe Hammer Web Challenge WriteUp

Enumeration

Tại đây, mình tiến hành scan và được 2 port đang mở bao gồm :

22/tcp : đây là port SSH
1337/tcp : đây là port của một cái http service và cái web app này được host lên bằng apache httpd. Bây giờ mình sẽ truy cập vào trang web.

Exploitation

Sau khi truy cập web trả về cho mình một trang login. Vấn đề ở đây là mình không hề có account để truy cập vậy nên mình sẽ thử với các gói request qua burp proxy.

IredTeam AS-REP Roasting

Wed, 17 Dec 2025 00:00:00 +0700

IredTeam AS-REP Roasting

AS-REP là gì?

AS-REP (viết tắt của Authentication Service Reply) là một thông điệp trong giao thức xác thực Kerberos. Đây là bước thứ hai trong quá trình xác thực ban đầu, được gửi từ Key Distribution Center (KDC), thường là một Domain Controller trong môi trường Active Directory, đến người dùng.

Thông điệp này chứa Ticket-Granting Ticket (TGT), một ticket được mã hóa dùng để yêu cầu các vé dịch vụ khác mà không cần người dùng phải nhập lại mật khẩu. Một phần của thông điệp AS-REP này được mã hóa bằng chính hash mật khẩu của người dùng.

ServerSide Template Injection (SSTI) Lab

Tue, 16 Dec 2025 00:00:00 +0700

ServerSide Template Injection (SSTI) Lab

SSTI là gì

Server-Side Template Injection (SSTI) là một lỗ hổng bảo mật web nghiêm trọng cho phép kẻ tấn công chèn mã độc vào template của ứng dụng, dẫn đến việc mã này được thực thi trên phía server. Lỗ hổng này thường xảy ra khi dữ liệu đầu vào từ người dùng được nối trực tiếp vào template thay vì được truyền dưới dạng dữ liệu an toàn.

GraphQL API Vulnerability

Mon, 15 Dec 2025 00:00:00 +0700

GraphQL API Vulnerability PortSwigger Challenge

Overview về GraphQL

GraphQL là một ngôn ngữ truy vấn cho API (Query Language for APIs) và cũng là một môi trường thực thi phía máy chủ (server-side runtime) để thực hiện các truy vấn đó.

Để dễ hiểu hãy hình dung như sau:

Với API truyền thống (như REST API): Bạn phải gọi nhiều "endpoint"(đường dẫn) khác nhau để lấy các loại dữ liệu khác nhau.

Ví dụ: để lấy thông tin người dùng và các bài viết của họ, bạn có thể phải gọi /users/1 để lấy thông tin người dùng, sau đó gọi /users/1/posts để lấy danh sách bài viết. Bạn thường nhận về toàn bộ dữ liệu mà endpoint đó cung cấp, dù bạn có cần hết hay không.

PortSwigger CORS (Cross-Origin Resource Sharing) challenge WriteUp

Sun, 14 Dec 2025 00:00:00 +0700

Overview về CORS

CORS là gì? Vì sao lại xuất hiện

CORS (Cross-Origin Resource Sharing) là một cơ chế bảo mật trong web cho phép các tài nguyên trên một máy chủ được chia sẻ với các trang web có nguồn (origin) khác. “Nguồn” ở đây được định nghĩa bởi ba yếu tố: giao thức (http, https), tên miền (domain), và cổng (port).

Ired.Team Kerberos Silver Ticket Execution

Sat, 13 Dec 2025 00:00:00 +0700

Ired.Team Kerberos Silver Ticket

Tiếp tục chuỗi series AD abuse thì tiếp theo ta tiến tới Kerberos Silver Ticket có nghĩa là ta sẽ hack quyền từ Kerberos nhưng không phải tạo golden ticket để truy cập mọi tài nguyên trong DC mà ở đây ta chỉ tạo Silver Ticket có quyền truy cập một số tài nguyên nhất định vì đôi khi ta cũng không cần phải full quyền để làm gì nhiều lúc sẽ dễ bị phát hiện nên ta chỉ cần lấy một vài tài nguyên, chính điều đó thì Silver Ticket ra đời.

PortSwigger CSRF Challenge WriteUps

Fri, 12 Dec 2025 00:00:00 +0700

PortSwigger CSRF Challenge WriteUp

Giới thiệu về CSRF (Cross-Site Request Forgery)

Lỗ hổng CSRF là gì :

Cross-Site Request Forgery hay còn gọi theo tiếng việt là giả mạo yêu cầu trên nhiều trang, là một lỗ hổng bảo mật cho phép attacker lừa người dùng đã được xác thực (đã đăng nhập) thực hiện các hành động không mong muốn trên 1 ứng dụng Web.
Nói đơn giản thì attacker sẽ mượn danh tính và session của một victim để gửi đi một yêu cầu giả mạo đến ứng dụng mà victim không hề hay biết. Nếu ứng dụng dễ bị tấn công, nó sẽ không thể phân biệt được đâu là yêu cầu giả mạo đâu là yêu cầu hợp lệ của victim (User).

CSRF hoạt động như thế nào :

Để thực hiện tấn công CSRF cần có 3 điều kiện bao gồm :
- Hành động quan trọng : Ứng dụng phải có một function (hành động, action) mà attacker muốn thực hiện ví dụ như là đổi mật khẩu, đổi username, đổi email, chuyển tiền,…. Nói chung nó có lợi có attacker là tương hết hay còn gọi là attack surface ngon, nhiều.
- Xử lý request dựa trên cookie, session : Application phải chỉ dựa vào cookie của trình duyệt để xác định người dùng đang gửi yêu cầu. Không có cơ chế nào xác minh request.
- Không có tham số không thể đoán trước : Các tham số trong yêu cầu thực hiện hành động phải là những giá trị mà attacker có thể đoán trược hoặc là biết trước.

Tại sao lỗ hổng này tồn tại :

Lỗ hổng CSRF tồn tại do sự tin tưởng của ứng dụng web vào các cookie mà trình duyệt tự động gửi kèm theo mỗi yêu cầu. Ứng dụng chỉ kiểm tra “ai” đang gửi yêu cầu (dựa trên cookie session) mà không kiểm tra “ý định” của người dùng có thực sự muốn thực hiện hành động đó hay không.

Ysoserial Commons Collections 5 Analyst

Thu, 11 Dec 2025 00:00:00 +0700

Ysoserial Commons Collections 5 Analyst

Tổng quan CommonsCollections 5 trong Ysoserial

CommonsCollections là một trong những gadget chain nổi tiếng nhất trong các cuộc tấn công khai thác Java deserialization không an toàn, đặc biệt khi ứng dụng sử dụng thư viện Apache Commons Collections.

Trong bài viết này, chúng ta sẽ tập trung vào CommonsCollections5 (CC5) — một trong các chain được tích hợp sẵn trong công cụ ysoserial . Mình chọn phân tích CC5 vì đây là chain được nhiều người đề xuất để học do tính minh bạch và dễ debug.

Ired.Team Kerberos Golden Tickets Lab

Wed, 10 Dec 2025 00:00:00 +0700

Ired.Team Kerberos: Golden Tickets Lab

Overview

Lab này khám phá một cuộc tấn công vào Kerberos Authentication của Active Directory(AD). Chính xác hơn, đây là một cuộc tấn công giả mạo Vé cấp quyền Kerberos (TGT) được sử dụng để xác thực User bằng Kerberos.

TGT được sử dụng khi Ticket Granting Service (TGS), nghĩa là một TGT giả có thể giúp chúng ta có được bất kỳ ticket TGS nào.

Tryhackme Basic Pentesting Challenge

Tue, 09 Dec 2025 00:00:00 +0700

Tryhackme Basic Pentesting Challenge

Sử dụng nmap để scan các port đang mở của target ở đây tôi sử dụng lệnh nmap -sV -T4 <ip> để scan cho nhanh và ta nhận được kết quả là 4 port đang mở.

Với câu hỏi đầu là What is the name of the hidden directory on the web server ta sẽ tiến hành scan directory bằng gobuster ở đâu mình dùng lệnh :

Ired.Team Kerberoasting (Credential Access)

Mon, 08 Dec 2025 00:00:00 +0700

Ired.Team Kerberoasting (Credential Access)

Giải thích về các khái niệm

Kerberos trong Active Directory

Trong môi trường Windows Active Directory (AD), Kerberos là giao thức xác thực mặc định. Nó sử dụng các ticket để xác thực người dùng và dịch vụ mà không truyền mật khẩu qua mạng.

Các thành phần chính:

KDC (Key Distribution Center): Thường là Domain Controller (DC).
TGT (Ticket Granting Ticket): Cấp cho user sau khi đăng nhập thành công → dùng để xin ticket cho dịch vụ.
TGS (Ticket Granting Service ticket): Là service ticket cho một dịch vụ cụ thể → dùng để truy cập dịch vụ đó.

SPN là gì? (Service Principal Name)

SPN là một định danh duy nhất cho một dịch vụ trong domain.
Định dạng: ServiceClass/HostName[:Port]
SPN được lưu trong thuộc tính servicePrincipalName của đối tượng người dùng (user object).

TGS là gì?

TGS (Ticket Granting Service ticket) là ticket dùng để truy cập một dịch vụ cụ thể.
Khi user yêu cầu truy cập dịch vụ (ví dụ: IIS trên HTTP/dc-mantvydas.offense.local).
Tìm tài khoản nào sở hữu SPN đó → ví dụ: user svc_iis.
Tạo TGS, trong đó có phần "server ticket" được mã hóa bằng mật khẩu hash của svc_iis.
Gửi TGS cho client.

Kỹ thuật Kerberoasting là gì?

Lợi dụng việc TGS được mã hóa bằng mật khẩu hash của tài khoản dịch vụ để trích xuất ticket, rồi brute-force offline nhằm khôi phục mật khẩu gốc.

Ired.Team From Domain Admin to Enterprise Admin

Sun, 07 Dec 2025 00:00:00 +0700

Ired.Team From Domain Admin to Enterprise Admin

Overview

Ở lab này ta sẽ lợi dụng mối quan hệ giữa Parent-Child domain từ đó lợi dụng mối quan hệ đó và gây nên leo thang đặc quyền.

Build lab

SetUp domain đặt tên là offense.local đây là domain cha với IP là 192.168.10.10/24 và DNS: 127.0.0.1.

Đã cài xong Active Directory Domain Services (AD DS).
Đã promote máy thành Domain Controller cho domain: offense.local.

Java Deserialze - URLDNS Chain analysis (ysoserial)

Sat, 06 Dec 2025 00:00:00 +0700

Java Deserialze - URLDNS Chain analysis (ysoserial)

Java Deserialize là gì?

Java cung cấp cho người dùng hàm writeObject() để tiến hành quá trình serialize các object ở đây quá trình serialize sinh ra để chuyển một đối tượng Java thành chuỗi byte để lưu trữ (file, DB) hoặc truyền qua mạng (socket, RMI, JMS).
Và để có thể đọc được dữ liệu được serialize từ ObjectInputStream ta có quá trình deserialize ở java sử dụng hàm readObject() cho quá trình đó.

Khai thác Java Object Injection

Rủi ro sẽ đến với các đối tượng xử lý deserialize các Untrusted Data.
Attacker có thể lợi dụng các magic method, cách mà OOP vận hành từ đó tạo ra exploit chain hoàn chỉnh và tiến hành sử dụng payload.

Tiến hành Setup môi trường test

Spring Time CTF challenge WriteUp

Fri, 05 Dec 2025 00:00:00 +0700

Spring Time CTF challenge WriteUp

Web App được chia làm 2 services khác nhau bao gồm:

gateman : port 8080
newsman : port 8082

Phân tích từng chức năng từng service

Gateman

Nó được chạy bằng port 8080 bên cạnh đó nó còn gọi cloud cùng với đó là expose include ra các chức năng như health , info , gateway. Vậy nên có thể biết được đây là service Spring Cloud với chức năng routing đến các routes.

Java Deserialize CBJS Lab

Thu, 04 Dec 2025 00:00:00 +0700

Java Deserialize CBJS Lab

Giải thích chi tiết về lỗ hổng Deserialization

1. Deserialization là gì?

Serialization là quá trình chuyển đổi một object (đối tượng) trong bộ nhớ thành một định dạng có thể lưu trữ hoặc truyền tải (như byte stream, JSON, XML).
Deserialization là quá trình ngược lại - chuyển đổi dữ liệu đã được serialize trở lại thành object trong bộ nhớ.

2. Nguyên nhân Lỗ hổng xảy ra khi:

Pentester Lab From Sql Injection to Shell

Wed, 03 Dec 2025 00:00:00 +0700

Pentester Lab From Sql Injection to Shell

Fingerprinting

Sử dụng nmap với cú pháp:

sudo nmap -sV 192.168.179.132 -T4

Kết quả trả về cho thấy đang có 2 port đang được mở đó là port 22 và 80 như ta đã biết port 22 là SSH còn 80 là Apache httpd thì có nghĩa là nó đang host 1 cái web nào đó.

Tiến hành curl đến xem thử có tồn tại không và để lấy được source code của web được host ở đây nó đưa cho ta thông tin về server và web được code bằng PHP/5.3.3-7+squeeze14.

Web Cache Deception Demo Lab

Tue, 02 Dec 2025 00:00:00 +0700

Web Cache Deception Demo Lab

Tổng quan Web Cache Deception

Lỗ hổng “web cache deception” (đánh lừa bộ nhớ đệm web) là một dạng lỗ hổng bảo mật web, cho phép kẻ tấn công lừa hệ thống cache (bộ nhớ đệm web) lưu trữ và phục vụ lại những nội dung nhạy cảm hoặc riêng tư cho các bên không được ủy quyền. Đây là một hình thức khai thác sự khác biệt trong cách các server cache và server gốc xử lý các request—đặc biệt là về quy tắc lưu cache cho các tài nguyên động (như trang tài khoản người dùng, trang admin, v.v.).

NoSQL Injection Vulnerability Challenge Java

Mon, 01 Dec 2025 00:00:00 +0700

NoSQL Injection Vulnerability Challenge Java

Tổng quan về NoSQL Injection

Tấn công NoSQL injection là một lỗ hổng bảo mật trong các ứng dụng web sử dụng cơ sở dữ liệu NoSQL. NoSQL (viết tắt của “Not Only SQL”) là các hệ thống cơ sở dữ liệu không sử dụng ngôn ngữ truy vấn có cấu trúc SQL, mà thay vào đó dùng các định dạng dữ liệu linh hoạt hơn như cặp khóa-giá trị, tài liệu (document), hoặc đồ thị dữ liệu.

Broken Access Control Vulnerability Lab

Sun, 30 Nov 2025 00:00:00 +0700

Broken Access Control Vulnerability Lab

What is Broken Access Control (BAC)

Broken Access Control là một loại lỗ hổng bảo mật web xảy ra khi người dùng có thể truy cập vào các tài nguyên hoặc thực hiện các hành động vượt quá quyền hạn cho phép của họ. Đây là một trong những rủi ro bảo mật nghiêm trọng nhất đối với các ứng dụng web, theo danh sách của OWASP Top 10.

XXE Injection Vulnerability Lab

Sat, 29 Nov 2025 00:00:00 +0700

XXE Injection Vulnerability Lab

XXE Injection là gì?

XXE (XML External Entity) Injection là một lỗ hổng bảo mật web cho phép kẻ tấn công can thiệp vào quá trình một ứng dụng xử lý dữ liệu XML. Lỗ hổng này xảy ra khi một trình phân tích (parser) XML được cấu hình yếu xử lý các thực thể bên ngoài (external entities) do người dùng cung cấp trong tài liệu XML.

WebSec.fr level 1 CTF challenge

Fri, 28 Nov 2025 00:00:00 +0700

WebSec.fr level 1 CTF challenge

Overview

Giao diện chức năng của level này ta có thể thấy nó là một web app có chức năng hiển thị username bằng cách nhập vào userID nên bước đầu ta có thể nghi ngờ nó dính Sql Injection.

Phân tích source code

<?php
session_start ();

ini_set('display_errors', 'on');
ini_set('error_reporting', E_ALL);

include 'anti_csrf.php';

init_token ();

class LevelOne {
    public function doQuery($injection) {
        $pdo = new SQLite3('database.db', SQLITE3_OPEN_READONLY);
        
        $query = 'SELECT id,username FROM users WHERE id=' . $injection . ' LIMIT 1';
        $getUsers = $pdo->query($query);
        $users = $getUsers->fetchArray(SQLITE3_ASSOC);

        if ($users) {
            return $users;
        }

        return false;
    }
}

if (isset ($_POST['submit']) && isset ($_POST['user_id'])) {
    check_and_refresh_token();

    $lo = new LevelOne ();
    $userDetails = $lo->doQuery ($_POST['user_id']);
}
?>

Challenge cung cấp cho ta đoạn source code của của web app với logic được xử lý bằng php và ta có thể thấy rằng trường userID được query bằng SQLITE3.

Server Side Request Forgery (Java)

Thu, 27 Nov 2025 00:00:00 +0700

Server Side Request Forgery (Java)

Source Code

Github: https://github.com/pzhat/SSRF_vuln_demo

What is SSRF

Giới thiệu về Server-Side Request Forgery :

Chúng ta có xu hướng lơ là, mất cảnh giác khi đang trong vùng an toàn

→ Developer nghĩ rằng hacker sẽ không truy cập được các ứng dụng nội bộ do đó việc bị hack gần như là không thể

→ Pentester cũng không đủ thời gian để security test hết tất cả dịch vụ nội bộ

Java Servlet Path Traversal vulnerability

Wed, 26 Nov 2025 00:00:00 +0700

Java Servlet Path Traversal vulnerability

Source Code:

[Github Link]

Overview

Đây là chức năng hiển thị hình ảnh của các file đã nằm trong folder images.

Ở đây ta test file skibidi.jpg và request nó sẽ hiển thị lên cho ta.

Đây là nơi chứa các file có thể hiển thị.

Vì là build trên môi trường windows localhost qua apache tôi sẽ tạo một thư mục /protected có chứa file bí mật.

CyberCon 2025 SafeUpload Web Challenge

Tue, 25 Nov 2025 00:00:00 +0700

CyberCon 2025 SafeUpload Web Challenge

Tổng quan challenge

Mở challenge lên thì ta thấy nó cấp cho ta một giao diện dùng để upload file nên nghi ngờ ban đầu sẽ là web này dính lỗ hổng file upload.

Tiến hành thử upload lên file php với nội dung:

<?php
echo "test";
?>

Có vẻ như đã dính filter của bài có thể thấy nó đã xoá đi file mình upload lên, bây giờ ta thử upload 1 file php nhưng không có nội dung.

WebSec.fr Level 28 CTF challenge

Mon, 24 Nov 2025 00:00:00 +0700

WebSec.fr Level 28 CTF challenge

Tổng quan:

<?php
if(isset($_POST['submit'])) {
  if ($_FILES['flag_file']['size'] > 4096) {
    die('Your file is too heavy.');
  }
  $filename = './tmp/' . md5($_SERVER['REMOTE_ADDR']) . '.php';

  $fp = fopen($_FILES['flag_file']['tmp_name'], 'r');
  $flagfilecontent = fread($fp, filesize($_FILES['flag_file']['tmp_name']));
  @fclose($fp);

    file_put_contents($filename, $flagfilecontent);
  if (md5_file($filename) === md5_file('flag.php') && $_POST['checksum'] == crc32($_POST['checksum'])) {
    include($filename);  // it contains the `$flag` variable
    } else {
        $flag = "Nope, $filename is not the right file, sorry.";
        sleep(1);  // Deter bruteforce
    }

  unlink($filename);
}
?>

Đoạn mã này là một trang web đơn giản cho phép người dùng tải lên một tệp và nhập một giá trị checksum. Mục tiêu là tải lên một tệp tin sao cho hai điều kiện sau được thỏa mãn:

Tryhackme EvilGPT challenge WriteUp by @phatmh

Sun, 23 Nov 2025 00:00:00 +0700

Tryhackme EvilGPT challenge WriteUp by @phatmh

Dùng netcat để tiến hành kết nối với chall và tiến hành LLM Inject để có thể moi được flag từ con AI. Sau khi test thử thì đây không phải con AI bình thường như tôi nghĩ mà nó là một con AI thực thi các câu lệnh OS vậy bây giờ tiến hành thử moi ra các thứ có trong server. Tiến hành đọc thử source code của con AI xem nó có những cái gì.

Java Servlet Sql Injection Vulnerability by @Phatmh

Sat, 22 Nov 2025 00:00:00 +0700

Java Servlet Sql Injection Vulnerability by @Phatmh

Tổng quan cấu trúc file java

+---.idea
   +---dataSources
+---.mvn
   +---wrapper
+---src
   +---main
      +---java
         +---sql_injection
             +---controller
             +---dao
             +---model
             +---util
      +---resources
         +---META-INF
      +---webapp
          +---WEB-INF
   +---test
       +---java
       +---resources
+---target
    +---classes
       +---META-INF
       +---sql_injection
           +---controller
           +---dao
           +---model
           +---util
    +---generated-sources
       +---annotations
    +---Sql_Injection-1.0-SNAPSHOT
        +---META-INF
        +---WEB-INF
            +---classes
                +---META-INF
                +---sql_injection
                    +---controller
                    +---dao
                    +---model
                    +---util

Cấu trúc của project được viết bằng mô hình MVC với UserDAO là nơi xử lý logic chính. Tại đây mình tạo ra 11 level tương ứng với các độ khó khác nhau. Ở đây basic sẽ là 1-5 và 6-11 sẽ là hard.

Source Code (Github)

Github

Java Servlet Command Injection Vulnerability Challenges

Fri, 21 Nov 2025 00:00:00 +0700

Java Servlet Command Injection Vulnerability Challenges

Cấu trúc Project

+---.idea
+---.mvn
ª   +---wrapper
+---src
ª   +---main
ª   ª   +---java
ª   ª   ª   +---ci
ª   ª   ª       +---controller
ª   ª   ª       +---service
ª   ª   ª       +---util
ª   ª   +---resources
ª   ª   ª   +---META-INF
ª   ª   +---webapp
ª   ª       +---WEB-INF
ª   +---test
ª       +---java
ª       +---resources
+---target
    +---classes
    ª   +---ci
    ª   ª   +---controller
    ª   ª   +---service
    ª   ª   +---util
    ª   +---META-INF
    +---Command_Injection-1.0-SNAPSHOT
    ª   +---META-INF
    ª   +---WEB-INF
    ª       +---classes
    ª           +---ci
    ª           ª   +---controller
    ª           ª   +---service
    ª           ª   +---util
    ª           +---META-INF
    +---generated-sources
        +---annotations

LabServlet.java:Xử lý HTTP request với response thực hiện các tác vụ trên server và trả về kết quả cho người dùng.
LabService.java: Nơi đây là nơi xử lý logic chính của cả Web Application là nơi xử lý các level khác nhau.
Shell.java: Có nhiệm vụ thực thi các lệnh shell hoặc command-line từ chương trình Java và trả về kết quả của lệnh đó dưới dạng chuỗi.

Source Code:

GitHub

TryHackme Pickle Rick Challenge WriteUp by Phatmh.

Thu, 20 Nov 2025 00:00:00 +0700

TryHackme Pickle Rick Challenge WriteUp by Phatmh.

[link challenge]:https://tryhackme.com/room/picklerick Tiến hành dùng Openvpn kết nối với Tryhackme. Tiến hành kiểm tra mình đã cùng mạng mới máy bên Tryhackme hay chưa. Câu hỏi và Ip của challenge nãy đã test và kết nối thành công.

Bước 1: Recon

Sử dụng Nmap để tiến hành kiểm tra xem có port nào đang được mở ra, ở đây phát hiện ra được bên máy đang mở port 22/tcp và port 88/tcp ở đây tôi nghĩ là server nạn nhân đang chạy SSH và HTTP.

Java Servlet FileUpload Vulnerability

Wed, 19 Nov 2025 00:00:00 +0700

Java Servlet FileUpload Vulnerability by @Phatmh

Lỗ hổng File Upload

Bản chất của File Upload: File Upload đối với tôi nó đơn giản chỉ là lợi dụng Unsafe Method để truyền một Untrusted Data vào nhằm thay đổi hành vi của hệ thống trong trường hợp này là Web App, với FileUpload những gì User Upload lên sẽ chính là Untrusted Data và với Feature Upload File như này sẽ thế nào nếu nó không được Validate một cách cẩn thận ta sẽ đến với DEMO bằng Java Servlet.

Cookie Arena Challenges WU (@Phatmh)

Tue, 18 Nov 2025 00:00:00 +0700

NSLookup (Level 1)

Đây là một Website có chức năng là nslookup sử dụng hàm shell_exec của php để thực thi. Ta tiến hành truy cập để xem giao diện của web app.

Ở đây ta thấy nó khá là basic khi chỉ có duy nhất một nơi có chức năng nslookup và bên cạnh là source code cho sẵn của chall, ta sẽ tiến hành phân tích source code được cấp sẵn.

CanteenFood CTF Challenge WriteUp

Mon, 17 Nov 2025 00:00:00 +0700

CanteenFood CTF Challenge WriteUp by @Phatmh

Tiến hành phân tích chức năng theo kiểu BlackBox

Đây là một trang Web có chức năng cho User tìm kiếm được món ăn phù hợp với túi tiền của mình nhất bằng cách nhập số tiền mình mong muốn nó sẽ trả về món mà mình đủ tiền trả.

Ở đây sau khi viết ra số 300 và tiến hành bấm chức năng thì nó trả về được list các món dưới 300.