# JavaScript Attacks (前端攻击)
The attacks in this section are designed to help you learn about how JavaScript is used in the browser and how it can be manipulated. The attacks could be carried out by just analysing network traffic, but that isn't the point and it would also probably be a lot harder.<br>
> 本章节中的攻击旨在帮助您了解如何在浏览器中使用 JavaScript 以及如何对其进行操作，攻击可以通过分析网络流量来实现，但这不是本章节的重点而且可能要困难得多。<br>

Simply submit the phrase "success" to win the level. Obviously, it isn't quite that easy, each level implements different protection mechanisms, the JavaScript included in the pages has to be analysed and then manipulated to bypass the protections.<br>
> 只需提交单词 “success” 即可攻击成功，显然这并不是那么容易。每个级别都实现了不同的保护机制，页面中包含的JavaScript必须经过分析，然后才能绕过保护。<br>


![image.png](/static/img/2fbfdc136f7dd0e3c6c39454a087ee8e.image.webp)



# Low
## 源码
```html
	<form name="low_js" method="post">
		<input type="hidden" name="token" value="" id="token" />
		<label for="phrase">Phrase</label> 
                <input type="text" name="phrase" value="ChangeMe" id="phrase" />
		<input type="submit" id="send" name="send" value="Submit" />
	</form><script>

/*
MD5 code from here
https://github.com/blueimp/JavaScript-MD5
这里是一个md5编码的函数
*/

!function(n){"use strict";function t(n,t){var r=(65535&n)+(65535&t);return(n>>16)+(t>>16)+(r>>16)<<16|65535&r}function r(n,t){return n<<t|n>>>32-t}function e(n,e,o,u,c,f){return t(r(t(t(e,n),t(u,f)),c),o)}function o(n,t,r,o,u,c,f){return e(t&r|~t&o,n,t,u,c,f)}function u(n,t,r,o,u,c,f){return e(t&o|r&~o,n,t,u,c,f)}function c(n,t,r,o,u,c,f){return e(t^r^o,n,t,u,c,f)}function f(n,t,r,o,u,c,f){return e(r^(t|~o),n,t,u,c,f)}function i(n,r){n[r>>5]|=128<<r%32,n[14+(r+64>>>9<<4)]=r;var e,i,a,d,h,l=1732584193,g=-271733879,v=-1732584194,m=271733878;for(e=0;e<n.length;e+=16)i=l,a=g,d=v,h=m,g=f(g=f(g=f(g=f(g=c(g=c(g=c(g=c(g=u(g=u(g=u(g=u(g=o(g=o(g=o(g=o(g,v=o(v,m=o(m,l=o(l,g,v,m,n[e],7,-680876936),g,v,n[e+1],12,-389564586),l,g,n[e+2],17,606105819),m,l,n[e+3],22,-1044525330),v=o(v,m=o(m,l=o(l,g,v,m,n[e+4],7,-176418897),g,v,n[e+5],12,1200080426),l,g,n[e+6],17,-1473231341),m,l,n[e+7],22,-45705983),v=o(v,m=o(m,l=o(l,g,v,m,n[e+8],7,1770035416),g,v,n[e+9],12,-1958414417),l,g,n[e+10],17,-42063),m,l,n[e+11],22,-1990404162),v=o(v,m=o(m,l=o(l,g,v,m,n[e+12],7,1804603682),g,v,n[e+13],12,-40341101),l,g,n[e+14],17,-1502002290),m,l,n[e+15],22,1236535329),v=u(v,m=u(m,l=u(l,g,v,m,n[e+1],5,-165796510),g,v,n[e+6],9,-1069501632),l,g,n[e+11],14,643717713),m,l,n[e],20,-373897302),v=u(v,m=u(m,l=u(l,g,v,m,n[e+5],5,-701558691),g,v,n[e+10],9,38016083),l,g,n[e+15],14,-660478335),m,l,n[e+4],20,-405537848),v=u(v,m=u(m,l=u(l,g,v,m,n[e+9],5,568446438),g,v,n[e+14],9,-1019803690),l,g,n[e+3],14,-187363961),m,l,n[e+8],20,1163531501),v=u(v,m=u(m,l=u(l,g,v,m,n[e+13],5,-1444681467),g,v,n[e+2],9,-51403784),l,g,n[e+7],14,1735328473),m,l,n[e+12],20,-1926607734),v=c(v,m=c(m,l=c(l,g,v,m,n[e+5],4,-378558),g,v,n[e+8],11,-2022574463),l,g,n[e+11],16,1839030562),m,l,n[e+14],23,-35309556),v=c(v,m=c(m,l=c(l,g,v,m,n[e+1],4,-1530992060),g,v,n[e+4],11,1272893353),l,g,n[e+7],16,-155497632),m,l,n[e+10],23,-1094730640),v=c(v,m=c(m,l=c(l,g,v,m,n[e+13],4,681279174),g,v,n[e],11,-358537222),l,g,n[e+3],16,-722521979),m,l,n[e+6],23,76029189),v=c(v,m=c(m,l=c(l,g,v,m,n[e+9],4,-640364487),g,v,n[e+12],11,-421815835),l,g,n[e+15],16,530742520),m,l,n[e+2],23,-995338651),v=f(v,m=f(m,l=f(l,g,v,m,n[e],6,-198630844),g,v,n[e+7],10,1126891415),l,g,n[e+14],15,-1416354905),m,l,n[e+5],21,-57434055),v=f(v,m=f(m,l=f(l,g,v,m,n[e+12],6,1700485571),g,v,n[e+3],10,-1894986606),l,g,n[e+10],15,-1051523),m,l,n[e+1],21,-2054922799),v=f(v,m=f(m,l=f(l,g,v,m,n[e+8],6,1873313359),g,v,n[e+15],10,-30611744),l,g,n[e+6],15,-1560198380),m,l,n[e+13],21,1309151649),v=f(v,m=f(m,l=f(l,g,v,m,n[e+4],6,-145523070),g,v,n[e+11],10,-1120210379),l,g,n[e+2],15,718787259),m,l,n[e+9],21,-343485551),l=t(l,i),g=t(g,a),v=t(v,d),m=t(m,h);return[l,g,v,m]}function a(n){var t,r="",e=32*n.length;for(t=0;t<e;t+=8)r+=String.fromCharCode(n[t>>5]>>>t%32&255);return r}function d(n){var t,r=[];for(r[(n.length>>2)-1]=void 0,t=0;t<r.length;t+=1)r[t]=0;var e=8*n.length;for(t=0;t<e;t+=8)r[t>>5]|=(255&n.charCodeAt(t/8))<<t%32;return r}function h(n){return a(i(d(n),8*n.length))}function l(n,t){var r,e,o=d(n),u=[],c=[];for(u[15]=c[15]=void 0,o.length>16&&(o=i(o,8*n.length)),r=0;r<16;r+=1)u[r]=909522486^o[r],c[r]=1549556828^o[r];return e=i(u.concat(d(t)),512+8*t.length),a(i(c.concat(e),640))}function g(n){var t,r,e="";for(r=0;r<n.length;r+=1)t=n.charCodeAt(r),e+="0123456789abcdef".charAt(t>>>4&15)+"0123456789abcdef".charAt(15&t);return e}function v(n){return unescape(encodeURIComponent(n))}function m(n){return h(v(n))}function p(n){return g(m(n))}function s(n,t){return l(v(n),v(t))}function C(n,t){return g(s(n,t))}function A(n,t,r){return t?r?s(t,n):C(t,n):r?m(n):p(n)}"function"==typeof define&&define.amd?define(function(){return A}):"object"==typeof module&&module.exports?module.exports=A:n.md5=A}(this);


	function rot13(inp) {
		return inp.replace(/[a-zA-Z]/g, function(c) {
			return String.fromCharCode((c <= "Z" ? 90 : 122) >= (c = c.charCodeAt(0) + 13) ? c : c - 26);
		});
	}

	function generate_token() {
		var phrase = document.getElementById("phrase").value;
		document.getElementById("token").value = md5(rot13(phrase));
	}

	generate_token();
</script>
```
## 漏洞复现

1. 在页面的源代码中发现插入的js脚本，发现是获取了 ID为`phrase `的输入框的值，
   然后再使用md5进行编码，后赋值给一个ID`token`，来验证token

   最后一行中的`generate_token();`代表着加载完就调用函数，所以这个等级很简单


    ![image.png](/static/img/95118c3896acd59716438b426cdabd96.image.webp)
    先在输入框中输入"success",然后再在控制台调用函数重新编码覆盖旧的token即可
2. 使用burpsuite抓包观察一下
    
   ![image.png](/static/img/362598536e98b0e0e6b0c48c51de93b0.image.webp)
   
    ![image.png](/static/img/6f00f1aab6597c712c458e15ef379858.image.webp)
    ```
    token=8b479aefbd90795395b3e7089ae0dc09&phrase=success&send=Submit
    ```
    发现两次发送的token都一样，这时候观察源码发现有个将value值编码并赋值的函数
    `generate_token();`
    直接在浏览器控制台手动调用函数并传参为要加密的字符
    
    ![image.png](/static/img/1863150548edcfa3ed7e3e8b29ca23a7.image.webp)

    得到token后在burpsuite中修改数据为更新后的token
    
    ![image.png](/static/img/737e84c6e3835a8d29bdb2acfa139162.image.webp)
    最后在返回的第77行得到了成功提示
    
    
# Medium
## 源码
```html
	<form name="low_js" method="post">
		<input type="hidden" name="token" value="" id="token" />
		<label for="phrase">Phrase</label> 
                <input type="text" name="phrase" value="ChangeMe" id="phrase" />
		<input type="submit" id="send" name="send" value="Submit" />
	</form><script src="../../vulnerabilities/javascript/source/medium.js"></script>
```
## 漏洞复现
发现form表单下并没有像 Low 等级中直接写出JavaScript代码，而且引用了一个文件
```js
function do_something(e) {
	for (var t = "", n = e.length - 1; n >= 0; n--) 
        t += e[n];
	return t
}
setTimeout(function() {
	do_elsesomething("XX")
}, 300);

function do_elsesomething(e) {
	document.getElementById("token")
		.value = do_something(e + document.getElementById("phrase")
			.value + "XX")
}
```
生成 token 的函数被放在单独的js文件中，生成的方式是将 "XX" + phrase 变量的值 + "XX"字符串反转作为 token。
```js
do_something(e + document.getElementById("phrase").value + "XX")
```
![](https://casear.net/static/img/385f8e27c5086e2abb6a432eb632ff2c.image.webp)
在控制台中将这段加密部分打印出来

再用burpsuite查看传过去的token

![image.png](/static/img/49a36a0cdf224f15fa7dfb5c54a9a942.image.webp)

解题思路和上一等级一样，调用函数生成新的token，再进行发送即可通关

![image.png](/static/img/4274c1462f9ba884a61205a78b5def7f.image.webp)

![image.png](/static/img/78111552ec10b45eae2c2429f9bc7c92.image.webp)

# High
## 源码
```html
	<form name="low_js" method="post">
		<input type="hidden" name="token" value="" id="token" />
		<label for="phrase">Phrase</label> 
                <input type="text" name="phrase" value="ChangeMe" id="phrase" />
		<input type="submit" id="send" name="send" value="Submit" />
	</form><script src="../../vulnerabilities/javascript/source/high.js"></script>
        
```
## 漏洞复现

![image.png](/static/img/762ec9481b8420d91485582a5027be85.image.webp)
继续查看引入的js文件，发现被混淆过，使用[还原工具](http://deobfuscatejavascript.com/#)得到源码
```js

function do_something(e) {
    for (var t = "", n = e.length - 1; n >= 0; n--) t += e[n];
    return t
}
function token_part_3(t, y = "ZZ") {
    document.getElementById("token").value = sha256(document.getElementById("token").value + y)
}
function token_part_2(e = "YY") {
    document.getElementById("token").value = sha256(e + document.getElementById("token").value)
}
function token_part_1(a, b) {
    document.getElementById("token").value = do_something(document.getElementById("phrase").value)
}
document.getElementById("phrase").value = "";
setTimeout(function() {
    token_part_2("XX")
}, 300);
document.getElementById("send").addEventListener("click", token_part_3);
token_part_1("ABCD", 44);
```
由于执行 `token_part_2("XX")` 有 300 毫秒延时，所以 `token_part_1("ABCD", 44)` 会被先执行，而 `token_part_3()` 则是和提交按钮的 `click` 事件一起执行。

攻击方式#
和前面的思路差不多，依次执行 `token_part_1("ABCD", 44)` 和 `oken_part_2("XX")`，最后点击提交执行 `token_part_3()`。


![image.png](/static/img/a634701a98a681955271104b06012075.image.webp)

![image.png](/static/img/be134335258e6d30661f66528060bdf7.image.webp)

# Impossible

![image.png](/static/img/a7493708024d89e06b97b917afdfa083.image.webp)

:::tip{title="提示"}
你永远无法相信来自用户的任何信息，也无法阻止用户对其进行干扰，因此不存在不可能达到的水平。
:::

DVWA靶场--JavaScript Attacks (前端攻击)

# 强网杯2023 谍影重重2.0 wp
## 题目描述
> 小明是某间谍组织的一员，他终日监听着我国某重点军事基地的飞行动态，妄图通过分析参数找到我国飞的最快的飞机。我国费尽千辛万苦抓住了他，并在他的电脑上找到了一段他监听的信息，请分析出这段信息中飞的最快的飞机。
格式为flag{md5(ICAO CODE of the fastest plane)}<br>
> 附件内所涉及的信息均为公开信息，题目描述也均为虚构，切勿当真



:::tip{title="提示"}
文末有下载地址
:::
## 使用`tshark - r` 文件名打印流量信息
![image.png](https://casear.net/static/img/b720a5b6d227a7f88f4c3e931e8847f3.image.webp)
发现都是tcp协议的流量

## 然后导出流量
命令：
```shell
tshark -r [流量包文件] -Y "tcp" -T fields -e tcp.segment_data > [导出的文件名]
```

![image.png](/static/img/9bcf16afd89e34105949292dbadd2d5f.image.webp)


:::warning{title="注意"}
我习惯使用root用户来操作，在平时使用时，请尽量使用普通用户来运行
:::
## 分析导出的流量

这里使用了[kimi](https://kimi.moonshot.cn/)的国内免费ai来进行提问<br>
得知ADS—B可以传输速度信息
![image.png](/static/img/6ec2b2b92c06ca330b7bfc1d31c5cb02.image.webp)

`cat`一下导出的流量<br>

![image.png](/static/img/8b78da6e2076ce0ea216fbdd02b0ec00.image.webp)
使用python的`pyModeS`来解析并筛选
```python
import re  # 导入正则表达式模块，用于匹配和处理字符串
import pyModeS  # 导入pyModeS库，用于解码Mode S信号

speed = []  # 创建一个空列表，用于存储包含"Speed"的行
numbers = []  # 创建一个空列表，用于存储从文本中提取的数字

# 打开tcp.txt文件并读取所有行
with open(r"/root/Desktop/demo.txt", "r") as x:
    lines = x.readlines()  # 读取文件的所有行，并存储在lines列表中

# 创建或清空demo_output.txt文件用于写入解码后的结果
with open(r"/root/Desktop/demo_output.txt", "w", encoding="utf-8") as output_file:
    for i in lines:  # 遍历lines列表中的每一行
        # 检查行的长度是否为47个字符
        if len(i) == 47:
            try:
                # 尝试使用pyModeS库解码特定部分的内容
                # 注意：这里假设pyModeS库有decoder模块和tell方法，实际情况可能不同
                decoded_output = pyModeS.decoder.tell(
                    i[18:]
                )  # 解码从第18个字符开始到最后的内容
                # 将解码后的结果写入demo_output.txt文件
                output_file.write(str(decoded_output) + "\n")
            except Exception as e:
                # 如果解码过程中出现错误，将错误信息写入demo_output.txt文件
                output_file.write("错误译码行:" + str(e) + "\n")

# 再次打开demo_output.txt文件，这次用于读取解码后的结果
with open(
    r"/root/Desktop/demo_output.txt", "r", encoding="utf-8", errors="ignore"
) as file:
    for line_number, line in enumerate(file, 1):  # 遍历文件的每一行，并为每一行编号
        if "Speed" in line:
            # 如果行包含"Speed"，则将该行添加到speed列表中
            speed.append(line.strip())
            # 使用正则表达式找到该行中所有的数字
            found_numbers = re.findall(r"\d+", line)
            # 将找到的数字转换为整数并添加到numbers列表中
            numbers.extend([int(num) for num in found_numbers])
            # 再次将处理后的行添加到speed列表中（这里重复添加，可能是代码逻辑上的错误）

# 检查numbers列表是否非空
if numbers:
    # 找出numbers列表中的最大数，并将其转换为字符串
    max_number = str(max(numbers))

# 将最大数写入到test.txt文件中
with open("/root/Desktop/test.txt", "w", encoding="utf-8") as f:
    # 写入最大数到test.txt文件，并在末尾添加换行符
    f.write(max_number + "\n")

```
    筛选完后得出最大速度为`Speed: 371 knots`

![image.png](/static/img/f50b9e9d7d8febc8de6ec2c9b88cb413.image.webp)

## 获取flag值
解码后的最快速度的数据块为
```
                ICAO address: 79a05e 
             Downlink Format: 17 
                    Protocol: Mode-S Extended Squitter (ADS-B) 
                        Type: Airborne velocity 
                       Speed: 371 knots
                       Track: 213.3474959459136 degrees
               Vertical rate: -64 feet/minute
                        Type: Ground speed 
```
再把`ICAO address MD5`一下就得到了`fla`g，后来发现这个并不对，要把`ICAO address`先大写再`MD5`后得到：
```flag
flag{4cf6729b9bc05686a79c1620b0b1967b}
```
[数据包下载地址](https://www.lanzouw.com/ilqKJ1t3f4ng)

强网杯2023 谍影重重2.0 wp

> 跨站脚本（英语：Cross-site scripting，通常简称为：XSS）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。<br>

反射型XSS攻击需要具备以下条件：

- 需要向web页面注入恶意代码；
- 这些恶意代码能够被浏览器成功的执行
- 用户交互<br>

![image.png](/static/img/4dbef1890a15968cc0d360c6970bfd1d.image.webp)



# 代码级别解析
## low
### 源码
```php
<?php

header ("X-XSS-Protection: 0");

// arrary_key_exists()函数：判断$_GET的值中是否存在“name”键名
//并且$_GET[‘name’]的值是否不为空，满足这些条件，直接输出下面的输出语句

if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Feedback for end user
    echo '<pre>Hello ' . $_GET[ 'name' ] . '</pre>';
}

?>
```
### 漏洞复现
　　服务器只是判断了 name 参数是否为空，如果不为空的话就直接打印出来。服务器并没有对 name 参数做任何的过滤和检查。

（1）直接使用 `<script>alert(1)</script>` 进行尝试

![image.png](/static/img/a42c5e6e11b3bfeae8842995f9be8d19.image.webp)

## Medium
### 源码

```php
<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
    // Get input
//将输入中的<script>替换为空字符串
    $name = str_replace( '<script>', '', $_GET[ 'name' ] );

    // Feedback for end user
    echo "<pre>Hello ${name}</pre>";
}

?>
```
### 漏洞复现
（1）使用了`str_replace`检查 `name` 参数中是否有` < script >`，如果有则替换为空，也就是说过滤掉了`<script>`这个标签。但是`str_replace`是区分大小写的，因此可以使用大小写绕过。

```js
<sCript>alert(1)</ScRipt>
```
（2）除了使用大小写绕过，还可以使用双写绕过
```js
<sc<script>ript>alert(1)</script>
```
（3）还可以使用一种"奇淫巧计"
```js
<a href="javascript:alert(1)">is</a>
```
## High
### 源码
```php
<?php

header ("X-XSS-Protection: 0");

// Is there any input?
if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) {
        // Get input
        $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $_GET[ 'name' ] );

        // Feedback for end user
        $html .= "<pre>Hello ${name}</pre>";
}

?>
```
### 漏洞复现
　`preg_replace()` 函数执行一个正则表达式的搜索和替换，`*` 代表一个或多个任意字符，`i` 代表不区分大小写。也就是说 `< script >` 标签在这里被完全过滤了，但是我们可以通过其他的标签例如 `img、body` 等标签的事件或者`iframe` 等标签的` src` 注入` JS `攻击脚本。
```js
<img src = 1 onerror = alert(1)>
<iframe onload="alert(1)"></iframe>
```

![image.png](/static/img/8be1b0aa79733b8450f9aa8710fb0665.image.webp)

![image.png](/static/img/16153f85d71333da5705c7df7e42cbe3.image.webp)
## Impossible
### 源码
```php
<?php

if(!array_key_exists ("name", $_GET) || $_GET['name'] == NULL || $_GET['name'] == ''){

 $isempty = true;

} else {

 $html .= '<pre>';
 $html .= 'Hello ' . htmlspecialchars($_GET['name']);
 $html .= '</pre>';

}
```
### 漏洞复现
根据@Fgaoxing想出的url转义，使用`%3cscript%3ealert(1)%3c/script%3e`依然无法绕过

![image.png](/static/img/59393a1ad5386dd757f129f8feb07eb8.image.webp)
最新版本使用了一个替换`<` `>`的函数，目前无解

DVWA靶场--XSS(Reflected)教程

```code
20 */12 * * * 每12小时的20分
0 0,1-23/3 * * * 0点 1 点 后每3小时
13 1,6,22 * * * 1:13 6:13 22:13运行
0 20 30 * * 每月30日20点运行
0 20 * * 7 每周日20点
12 8 * * *每天8:12
0 0-23/1 * * * 每小时一次
*/5 * * * * ?    #每隔 5 秒执行一次
0 */1 * * * ?    #每隔 1 分钟执行一次
0 0 2 1 * ? *    #每月 1 日的凌晨 2 点执行一次
0 15 10 ? *    #MON-FRI 周一到周五每天上午 10：15 执行
0 15 10 ? 6L    #2002-2006 2002 年至 2006 年的每个月的最后一个星期五上午 10:15 执行
0 0 23 * * ?    #每天 23 点执行一次
0 0 1 * * ?    #每天凌晨 1 点执行一次
0 0 1 1 * ?     #每月 1 日凌晨 1 点执行一次
0 0 23 L * ?    #每月最后一天 23 点执行一次
0 0 1 ? * L    #每周星期天凌晨 1 点执行一次
0 26,29,33 * * * ?    #在 26 分、29 分、33 分执行一次
0 0 0,13,18,21 * * ?    #每天的 0 点、13 点、18 点、21 点都执行一次
0 0 10,14,16 * * ?    #每天上午 10 点，下午 2 点，4 点执行一次
0 0/30 9-17 * * ?    #朝九晚五工作时间内每半小时执行一次
0 0 12 ? * WED    #每个星期三中午 12 点执行一次
0 0 12 * * ?    #每天中午 12 点触发
0 15 10 ? * *    #每天上午 10:15 触发
0 15 10 * * ?    #每天上午 10:15 触发
0 15 10 * * ? *    #每天上午 10:15 触发
0 15 10 * * ?    #2005 2005 年的每天上午 10:15 触发
0 * 14 * * ?    #每天下午 2 点到 2:59 期间的每 1 分钟触发
0 0/5 14 * * ?    #每天下午 2 点到 2:55 期间的每 5 分钟触发
0 0/5 14,18 * * ?    #每天下午 2 点到 2:55 期间和下午 6 点到 6:55 期间的每 5 分钟触发
0 0-5 14 * * ?    #每天下午 2 点到 2:05 期间的每 1 分钟触发
0 10,44 14 ? 3 WED    #每年三月的星期三的下午 2:10 和 2:44 触发
0 15 10 ? * MON-FRI    #周一至周五的上午 10:15 触发
0 15 10 15 * ?    #每月 15 日上午 10:15 触发
0 15 10 L * ?    #每月最后一日的上午 10:15 触发
0 15 10 ? * 6L    #每月的最后一个星期五上午 10:15 触发
0 15 10 ? * 6L    #2002-2005 2002 年至 2005 年的每月的最后一个星期五上午 10:15 触发
0 15 10 ? * 6#3    #每月的第三个星期五上午 10:15 触发
```

青龙面板定时规则

![](https://casear.net/static/img/2e89b0cf9c9088f2f6388aa077e2d08e.1707392970665.webp)

![](https://casear.net/static/img/c82ef8d53577d7e2547853f2b54519d0.1707392970187.webp)
![](https://casear.net/static/img/d7424e8bdbbc23f326c3fd95fd6fba2f.1707392970108.webp)
![](https://casear.net/static/img/cb09a3d01f6f04d5d79f95293717626e.1707392969888.webp)
![](https://casear.net/static/img/c6d38084040a7443425ef2d4a9379714.1707392970131.webp)

你一句春不晚，我就到了真江南

script

msvalidate.01

link

如果你有机会到好望角，请在海边的石头上刻下我的故事👨‍💻