一些在大会上的官话（

上周末鹏程杯结束了，第一次去线下还是非常激动的，虽然并没有体验到AWD（（（

下面就是关于鹏程杯决赛下来一个web手下小结：

对于Web手而言：

本次鹏程杯决赛虽然说是城市攻防，其实实质上还是解题模式只不过题目更接近于现实应用场景，虽然应该是好几年前的应用场景了。

  1. 要熟悉sql注入、文件上传等基础漏洞的原理
  2. 虽然平常做题的时候用sqlmap是没有灵魂的，但是还是要会用
  3. 要会审计。这次的题目几乎都是用php写的，很多都是php的框架并且给了源码，所以某些漏洞是要自己审计出来的
  4. 熟练运用各种扫描端口/目录工具。nmap、御剑……
  5. 要有大字典
  6. 最重要还是平时的积累，线下的时候是不能上网的，所以遇到一些比较明显的CVE的时候，就是要看个人的做题量/复现漏洞量了 thinkphp6 日志文件包含
  7. 还有就是内网渗透了，基础的提权EXP……
  8. 最后一点就是脑洞吧……

对于非Web手而言：

这次比赛大部分的题目都是web方向的题，所以还是建议其他方向的同学在学有余力的时候可以去漏洞银行、ctfwiki等网站简单学习一下web方向常见的漏洞原理

最后：

除了上面一些感受之外，还有一个就是比赛中几乎所有题目都会涉及登录框，一般就是sql注入或者就是弱口令了……