在CTFShow的吃瓜杯中，Web类题目一直是参赛者们关注的重点。这次比赛中的Web题目不仅考验了选手的漏洞挖掘能力，还对代码逻辑和安全意识提出了更高的要求。
首先，我们来看第一道Web题。这道题目的核心在于XSS漏洞的利用。通过分析页面源码，发现输入框未对用户输入进行过滤，直接将内容输出到页面上。于是，我们构造了一个简单的恶意脚本，成功实现了弹窗攻击。
- 关键点：输入过滤不严格
- 解决方法：使用htmlspecialchars函数对输入进行转义
接下来是第二道题，涉及CSRF漏洞。题目要求登录后执行特定操作，但未对请求来源进行验证。我们通过伪造请求，成功绕过验证，完成了目标操作。
第三道题则是一个典型的SQL注入问题。通过对参数的测试，发现存在注入点。我们利用union select语句，成功获取了数据库中的敏感信息。
- 关键点：参数未做过滤
- 解决方法：使用预编译语句防止注入
最后，我们总结了几道题的共同点：大多都因为开发者疏忽，导致安全机制缺失。对于参赛者来说，这些题目不仅是技术挑战，更是对安全意识的提醒。
