CTF的Web题：一场与服务器逻辑的猫鼠游戏

CTF里的Web题，说白了就是给你一个网站，让你想尽办法撬开它的嘴。不是SQL注入就是XSS，不是文件上传就是反序列化。我第一次打CTF的时候，对着一个只有登录框的页面愣了半天，后来才知道，那个输入框里填`admin' or '1'='1`就能直接进去。那种感觉，像发现邻居家密码锁的出厂密码是0000。

Web题最迷人的地方在于，它不像逆向工程那样需要你读懂汇编，也不像密码学那样满是数学公式。它考的是你对“服务器端到底信任了什么”的理解。一个普通的搜索框，背后可能藏着数据库查询拼接的漏洞；一个图片上传功能，可能允许你传个PHP马上去。这些漏洞不是代码写错了，而是开发者默认“用户不会乱来”——可CTF玩家就是专门乱来的那群人。

我记得有一道题，页面只有一个商品列表，每个商品链接后面跟着`?id=1`。试了试`?id=2`、`?id=3`，能切到不同商品。再试`?id=1'`，页面报错，数据库类型直接暴露了——MySQL。然后就是老套路：`order by`猜列数，`union select`找回显点。折腾半小时，最后在`information_schema`里翻到一张叫`flag_table`的表。那一刻的爽感，比游戏里爆出橙装还强。

当然，Web题不止是SQL注入。有些题考的是逻辑漏洞，比如“修改密码”功能里，如果你把请求包里的`username`改成别人的，就能重置别人的密码。这种漏洞根本不需要什么高深技术，纯粹是开发时没校验当前会话和请求参数是否一致。还有的题考SSRF，让你从服务器内部去访问一个只有内网才能访问的地址，拿到flag。你得学会读源码，从一段段PHP或Java代码里嗅出哪里能利用。

做Web题最烦的是环境问题。有的题给了源码，但本地复现跑不起来，PHP版本不对，依赖缺这缺那。有的题不给源码，纯黑盒，你得靠猜。猜参数名，猜路径，猜有没有备份文件。有一次我扫目录扫出个`.git`泄露，把源码全扒下来了，结果发现flag就在注释里——作者根本懒得藏。

玩久了你会发现，Web题其实是在模拟真实世界的安全攻防。那些漏洞在真实网站上也存在，只不过CTF里把它们放大成了一道道谜题。它教会你的不是背payload，而是建立一种“怀疑一切输入”的思维。前端校验？绕过就是了。后端过滤？试试编码、大小写、空格变体。开发者每设一道墙，你就得想一种翻墙的方式。

现在很多新手上来就刷题，看到`select`就注入，看到`