以太坊智能合约是以太坊概念中非常重要的一个概念，以太坊实现了基于solidity语言的以太坊虚拟机（Ethereum Virtual Machine），它允许用户在链上部署智能合约代码，通过智能合约可以完成人们想要的合约。
这次我们提到的编码设计问题就和EVM底层的设计有很大的关系，由于EVM的特性，智能合约有很多与其他语言不同的特性，当开发者没有注意到这些问题时，就容易出现潜在的问题。
智能合约checklist系列文章:
“以太坊智能合约规范问题”影响分析报告
“以太坊智能合约设计缺陷问题”影响分析报告
“以太坊智能合约编码安全问题”影响分析报告
这篇扫描报告其实算是一片比较特殊的文章，因为这是checklist唯一被我直接标记为安全问题的一类，其中很多问题虽然特征明显，但修复逻辑却千变万化，所以统计数据一直波动很大，犹豫了很久才发出来，图片的很多涉及到的合约并不一定真的存在问题，但仍然值得注意。
智能合约checklist系列文章:
当你还在寻求棋局中的出路时，却发现棋盘已经不存在了。
在审计各种智能合约之后，我发现了一类很有趣的问题，这类问题出现的原因不只是由于开发者的疏忽，也同样是因为智能合约本身的一些设计缺陷，在开发者不了解这些问题的基础上，就容易出现问题。
智能合约checklist系列文章:
最近工作的重点在智能合约上，不仅是整理checklist，还有一个智能合约的自动化审计平台，阅读了比较多的合约代码，我发现，一些开发者在开发过程中的问题，可以算是很典型的一类问题，其实很多不能算是有很大的危害，但确实不得忽视的一个大问题。
今年有幸作为新人赛中的一员参加了Wctf2018大师赛，比较难过的是，由于Wctf本身使用战争与分享赛制，却要求了每队必须出一道windows题目，大部分人都选择了内核驱动级别的re和pwn，只有LCBC出的“拟态防御”和智能合约审计可以一做，关于智能合约的部分有机会会再分享，这里只研究一下mimic这题。
最棒的CTF就是那个能带给你东西和快乐的CTF了，共勉
RCTF刚好赶上了完成毕设的时间，没办法只接触了部分题目，可惜的是，其中很多题目都不是特别有意思，这里只整理部分我参与的..
在前段时间参加的CTF中，有一个词语又被提出来，Service Worker，这是一种随新时代发展应运而生的用来做离线缓存的技术，最早在2015年被提出来用作攻击向，通过配合xss点，我们可以持久化的xss控制。
本文提到的大部分技术来自
TCTF/0CTF中的压轴题目，本来可以在题目还在的时候研究的，无奈又因为强网杯的事情又拖了好几天，今天才整理出来，整个题目的利用思路都是近几年才被人们提出来的，这次比赛我也是第一次遇到环境，其中关于Appcache以及Service Worker的利用方式非常有趣，能在特殊环境下起到意想不到的作用。
下面的Writeup主要来自于
https://gist.github.com/masatokinugawa/b55a890c4b051cc6575b010e8c835803
本来早就该完成的club2 wp因为清明节的关系拖了一段时间，club2这个题目用了一很精巧的postMessage漏洞。
刚刚过去的TCTF/0CTF2018一如既往的给了我们惊喜，其中最大的惊喜莫过于多道xss中Bypass CSP的题目，其中有很多多应用于现代网站的防御思路，其中的很多利用思路非常精巧，值得研究，所以这里我把xss题目单独出来博文，因为它们值得更多关注！
ps：writeup会在我复现整理完后不断分享出来…
HCTF2017过去了已经快要2个半月了…时间飞逝，临到年关才有空提笔写写去年的得失，断断续续居然写了快半个月，其实很多故事都没什么特别的，还记得去年提笔写HCTF2016的时候，只不过是因为学校的事情有些抑郁，深夜随便写写吐槽一下，也算消解了很多无用的情绪。没想到的是，居然有很多人看到了那篇在我看来很无趣的深夜吐槽，给了我们很多鼓励，这里也谢谢那些愿意支持我们的人，现在的Vidar真的来之不易…
下面就随便聊聊天，聊聊HCTF2017，聊聊我去年的一些得失，也算是给这个技术博客增添一些个人情绪色彩。
34c3作为ctftime很少见的高权重比赛仍然没让人失望，提供了足够好的题目质量，其中有3题是和xss有关系的，很有趣
这里整理了一下Writeup给大家
几个月前代码审计的时候，翻了翻wordpress的几个插件，因为wordpress的主要功能基本都是后台的，很少有前台能触发的漏洞，也就没看了，后来顺手就把挖到的2个后台漏洞申请了cve，没想到引来两个人讨论…
你觉得，什么样的漏洞才算是漏洞呢？
