CISCN 2026 Web easy_time

Tue, 12 May 2026 14:13:01 +0800

我这是复现，所以有些环境可能会有出入，借鉴了一些大佬的思路（第十九届全国大学生信息安全竞赛半决赛 Web 题 easy_time 详细题解：Cookie 伪造 + Zip Slip + SSRF 拿 Flag）。

a. 登录界面

这是一个登录界面，我们的常规思维就是想会不会是 admin+admin 或者 admin+admin123 的这种格式，结果都不是。然后我们打开题目附件发现：

def is_logged_in() -> bool:
 return flask.request.cookies.get("visited") == "yes" and bool(flask.request.cookies.get("user"))

这是成功登录的条件：在 Cookie 头里面传入两个参数，一个是 visited，值为 yes；另外一个是检查 Cookie 头里面 user 是否存在赋值。于是我们构建 payload：

Cookie: visited=yes; user=admin

但是随后我们用 bp 将该 payload 发包给目的网址，发现没有任何反应，于是我们继续代码审计，发现有两处代码说得很清楚。

1. 抓包路径必须为根目录

@app.route('/')
def home():
 if is_logged_in():
 return flask.redirect(flask.url_for("dashboard"))
 return flask.redirect(flask.url_for("login"))

因为登录校验是在根目录做的校验，所以抓包也应该在根目录进行。当满足登录条件的时候，网页会重定向到 /dashboard 这个界面，反之不满足就应该跳转回 login。

CISCN 2026 Web MediaDrive

Fri, 08 May 2026 18:08:01 +0800

a. 漏洞概述

在 preview.php 这个文件中，通过特定文件名的拼接，利用函数 iconv() 的转码漏洞，实现文件读取，最终获得 flag。

b. 代码审计

$user = null;
if (isset($_COOKIE['user'])) {
 $user = @unserialize($_COOKIE['user']);
}
if (!$user instanceof User) {
 $user = new User("guest");
 setcookie("user", serialize($user), time() + 86400, "/");
}

将 user 这个对象序列化，存到 cookie 中，使用的时候再将它反序列化，赋值给变量 $user。

$f = (string)($_GET['f'] ?? "");
if ($f === "") {
 http_response_code(400);
 echo "Missing parameter: f";
 exit;
}
$rawPath = $user->basePath . $f;