从“陇警杯”实战解析AWDplus攻防策略：Web与Pwn的双线作战
1. AWDplus赛制解析：攻防一体的竞技场
第一次接触AWDplus的选手常会被其独特的赛制搞懵——这既不是传统CTF的解题模式，也不是纯对抗的夺旗战。简单来说，你需要同时扮演"黑客"和"白帽"双重角色：既要攻击其他队伍的漏洞获取flag，又要保护自己的服务不被攻破。
比赛通常提供Web和Pwn两类题目，每轮20分钟为一个攻防周期。最刺激的是动态积分规则：成功攻击获得的分数会随着解题队伍数量增加而衰减。这意味着早发现漏洞就是王道——我在去年比赛中就因为比对手早10分钟突破某PHP反序列化漏洞，单题多吃了两轮高分。
防御环节的规则更值得玩味：上传的修复包需要通过平台双重检测。有次我精心编写的WAF脚本虽然防住了所有攻击，却因为影响了正常业务功能被判定check失败，反而被连续扣分。血泪教训告诉我们：防御不是越严格越好，精准修复才是关键。
2. Web攻防实战：从漏洞挖掘到精准修复
2.1 XSS攻防的博弈艺术
在某次比赛的"网抑云音乐"题目中，源码显示过滤了http和cookie关键词。常规的<script>alert(1)</script>直接被拦截，但通过HTML实体编码成功绕过：
<img src=x onerror=alert(1)> 防御方案需要多维度过滤：
$filter = '/<script|on\w+=|javascript:/i'; $input = preg_replace($filter, '', $_GET['input']); 更稳妥的做法是全局转义：
echo htmlspecialchars($output, ENT_QUOTES); 