多的不说，每年都会参加的比赛，这里更新一下第一周做的题目，第二周因为还没结束就等官方放出wp之后再更新上来，总算是给就地过年找了个事干
Contents
WEEK1
IOT
题目比较简单，直接手撕HEX就可以，或者010导入十六进制
MISc
欢迎
关注公众号
这个压缩包有点麻烦
注释提示为六位数字密码，使用ARCHPR进行破解
成功获取密码，执行到下一层
根据readme提示，pass.txt为加密压缩包的密码，使用ARCHPR导入压缩包和密码文件
进行下一步，查看readme
提示我们压缩形式为存储，同时在加密压缩包中存在相同文件，猜测攻击方式为明文攻击，首先对文件进行相同方式进行加密
使用ARCHPR进行明文攻击，对导出的文件进行分析
使用binwalk查看是否存在隐藏文件
使用foremost分离文件，并进行分析
在文件加密位置及全局加密位置发现被修改，证明该压缩包为伪加密，将09 00 修改为00 00
修复后即可打开文件
好康的流量
分析流量，发现SMTP流量，查看数据流
发现加密数据，导出进行分析解码一下filename，解码发现该加密数据为png图片，导出数据进行解码
分析图片，使用stegsolve进行分析
解码
查看LSB隐写位，发现后半端flag
群青(其实是幽灵东京）
下载wav，查看频谱图
查看到密文：Yoasobi，使用SilentEye导出加密流量
获得新的链接，wav名称为SSTV，提示我们应该使用RX-SSTV破解无线电信息，根据mxlkx的博客
使用Virtual Audio Cable获取电脑音频后，使用RX——SSTV进行破译并保存生成的图片
扫码即可获取flag
Reverse
Flag Checker
下载下来后是apk软件，直接AndroidKiller分析一下
发现加密字符串，查看一下其他数据
发现明文，猜测是RC4加密，在线解密
发现flag
web
easy_auth
用户登陆后，获得加密token，分析一下加密token
发现明文中存在用户名和key值，修改为用户名为admin，ID为1，同时修改encode的密钥为空，进行尝试加密
同时回到题目查看源码app.js
发现todo/list接口是展示数据接口，我们携带伪造的token直接访问该接口
成功获取flag
蛛蛛…嘿嘿♥我的蛛蛛
比较直接的爬虫题目，可以接用BS4库的功能直接访问每个关卡的超链接，最后flag在100关的header头中，因为脚本是在办公电脑上写的，等去上班了再更新上来，家里电脑没有同步
Tetris plus
这个题目就比较简单了，查看源码，存在多个js，直接查看checking.js毕竟flag都在游戏胜利后出现，作为检验游戏成功与否的关键文件就为checking.js
发现jsfuck编码，直接即可获取flag
Fujiwara Tofu Shop
考察header头的题目，很多关卡在response包里都有提示了
在第二关之后可以看到response包中出现了cookie参数和header参数，根据提示修改即可
