HGAME 2022 week1 个人部分WP

寒假期间，小萌新在家瞎搞CTF，也是第一次参加HGAME，整体来说题目是简单的，但对于我这个萌新菜鸟来说，还是一头雾水，只会做一些简单的密码题，week1的web和misc还能做出几题，后面几周就完全不会了，二进制完全看不懂。。。已经坐牢有一段时间了，想想还是不要浪费时间，记录下这次比赛，也是一种学习。

本人还是个萌新，WP可能会存在很多错误，望各位大佬勿喷，也请多多指正。

web

Tetris plus

描述：据说没人能超过 3000 分。要是做题做累了，就来玩玩小游戏吧(x

这道题很明显是玩游戏，通关后得到flag（也可能通关没有flag），以前我做这种题目都是尝试着打通关，但这次比赛主要是以学习为主，分数是次要的，就尝试查看js文件

这么多js文件，一个个查看，发现这个文件的末尾比较可疑，一段jsfuc*代码，复制粘贴到控制台，回车得到flag

Fujiwara Tofu Shop

描述：昨晚我输给一辆AE86。他用惯性漂移过弯，他的车很快，我只看到他有个豆腐店的招牌。

        写WP的时候，题目环境已经打不开了，只能靠记忆和官方WP大致描述一下了。这道题考察的是http常用的几个请求头的知识。

Referer：先前网页的地址，当前请求网页紧随其后,即来路

               Referer: qiumingshan.net

User-Agent：User-Agent的内容包含发出请求的用户信息

               User-Agent : Hachi-Roku

Cookie：HTTP请求发送时，会把保存在该请求域名下的所有cookie值一起发送给web服务器

        cookie这里的提示是蓝莓味的曲奇，菜鸟我不知道该如何填写这个cookie了（因为英语不好。。。），后来发现原有的cookie里有一个flavor（风味）属性,又无意间看到了Raspberry（蓝莓）这个单词，就将flavor属性后的值改为了Raspberry，成了

        下一个提示是把汽油加到100，这大概是让我们自己造一个请求头吧，英语差的我再次用上了百度翻译，得到gasoline（汽油），添加请求头Gasoline : 100

        最后一个提示是让我们伪造本地ip，对于我这种菜鸟，就只知道X-Forwarded-For请求头了，但是师傅故意禁用了，本来我以为我对提示的理解出错了，后来实在想不出什么办法，就百度查找了一下有没有和XFF类似的请求头，果然找到了一大批。这里参考这位师傅的博客CTF题目中伪造IP方法_cib439的博客-CSDN博客，我是从这里一个一个试出来的。

        官方WP是这样说的：相关的请求头有 X-Forworded-For , X-RealIP , X-Client-IP 等，至于那个请求头能成功伪造 IP，得参考具体的网络环境，编程语言，服务端框 架和服务端配置。返回头里给出了后端框架： gin-gonic/gin ，预期解法是让大家去查一查 gin 是怎 样处理这些请求头的，不过好像没人去查www。(https://github.com/gin-gonic/gin/issues/1684)

蛛蛛...嘿嘿♥我的蛛蛛

描述：蛛蛛...嘿嘿...我的蛛蛛...我的蛛蛛正在满地找头？？？

        蛛蛛？我第一想到的和蜘蛛有关系的技术就是爬虫，但我这个菜鸟完全不会写爬虫，只能以最笨最费时的方法来做，就是一直访问这个key值，好像一直访问到101关才提示flag就在这，这里我感觉师傅有点耍心机，一般刷到第100关还没有flag，可能就放弃了。

         到这也只是提示flag就在这，但没有直接给出flag，题目描述中的“满地找头”提示我们查看请求头，最终flag在请求头中被发现

下面是官方WP的爬虫脚本：