使用 hexo+github 搭建博客，图片成为一个头疼的问题，如果放在相对目录上，那么图片会占用空间，文章多了加载会变慢，所以我一直使用简书的图床。

但是发现hexo里加载不出简书图床上的图片，搜索了一波发现微博图床也有类似的问题，找到了原因，具体参考：

Web

SSRF Me

题目直接给了源码：

Crypto

COPPERSTUDY

俄罗斯套娃一样的题目，和去年一样，今年是考 Coppersmith 相关攻击，主要参考ctf wiki https://ctf-wiki.github.io/ctf-wiki/crypto/asymmetric/rsa/rsa_coppersmith_attack/#known-high-bits-message-attack

github：https://github.com/mimoo/RSA-and-LLL-attacks

第一关：

果然 0CTF 是为神仙准备的，自闭了。

Web

Ghost Pepper

线性反馈移位寄存器（LFSR）在流密码中有广泛的应用，是指给定前一状态的输出，将该输出的线性函数再用作输入的移位寄存器。LFSR 主要用于生成一串随机的比特流，比特流可用做加密明文的密钥。

LFSR 基本原理大致就是通过当前状态进行一些线性运算来确定下一状态。不清楚的可以参考这篇文章学习一下流密码和 LFSR 。

最开始接触 LFSR 是在强网杯的 streamgame，后来密码学课程上比较详细学习了流密码和 LFSR，再到今年国赛初赛中的 oldstream，最近的 X-MAS CTF 中一道密码题我看到了 LFSR 的一些新玩法，总结一下。

11月打了几场线下，回来就做了做 BCTF 的题，无奈自己水平不够，题目质量也很高，做了半天还是没摸到什么门路，前端太差。

上海市大学生网络安全竞赛线下赛

emmmm 感觉又玩成了大乱斗模式。

两个 Web 一个 Pwn，我们队比较佛系，来了两个 Web 手和一个逆向手，逆向手全程 patch 就完了，pwn 到下午才有人打出来，pwn 也差不了太多，主要是 Web。

比赛开始正常备份改密码，然后 D 盾扫了一波，并没有扫出什么后门，不对啊这种比赛应该会有预留后门的。。。 然后惊奇发现有队开始打 web2了，比较懵逼。

被打了不行马上抓流量，我抓流量的脚本上去但是不好使。。。运维大手子抓了下流量，发现原来尼玛主办方预留了个后门：

打了一下 HCTF，感觉题目质量很好，学到了一些新姿势。赛后看了下各大顶尖战队师傅们的 wp，总结一下。

Web

Warmup

提示源码：

有幸参加了 2018 XCTF FINALS，线下长了不少见识。回学校就打了上海市大学生网络安全竞赛，现在记录一下 XCTF FINALS。

攻防赛四道 pwn，Web 狗也只能打打解题这样子…

解题有 5 道 Misc，2 道 Web 和 4 道 pwn，和队友做出了两道 Misc ，一道 Web 和两道 pwn。不得不说这次的 Misc 很新颖，加入了硬件的挑战，有两道题是通过给的路由器来拿 flag，还有核弹遥控器密码和无线频谱的题，自己太菜了，学不动…

利用周末打了上海市大学生网络安全大赛，最后打了第三，这次的 Misc 真的是难上天，除了签到其他都做不动…膜一波复旦的师傅们。比赛中我打的是 Crypto 和部分 Web，这里也贴了一些队友的 wp。

Misc

签到

直接 base32 解码。