安平团队搭建了靶场环境部署新的门神WAF智能引擎检测，并进行为期一个月的众测，欢迎各位业界同仁测试拍砖。
发现绕过可通过TSRC平台进行提交，我们会根据反馈情况和问题大小逐步做一些修复和策略模型调整。
以下为众测详情：
【众测时间】
即日起至2020年4月23日
【挑战环境】
1）sql注入点：
URL:
http://111.231.117.191/cc023414493d245c7080df0ba4f52b51/int.php?id=1
2）XSS点：
URL：
http://111.231.117.191/cc023414493d245c7080df0ba4f52b51/xss1.php?output=1【评分标准】
1、 SQL注入漏洞点评分标准：绕过WAF防护，读取到 information_schema.tables 表内的数据信息或数据库内的 flag 信息；提交绕过 payload 并简要描述绕过思路，即可获得5积分，300安全币(等同于1500人民币)的漏洞赏金：
2、 XSS漏洞利用评分标准：
i. 绕过WAF防护，可以在 Chrome/firefox 浏览器最新 Stable 版本下执行 alert/confirm/prompt 弹窗函数；提交绕过 payload 并简要描述绕过思路，即可获得3积分，45安全币(等同于225人民币)的漏洞赏金；
ii. 绕过WAF防护，可以在 Chrome/firefox 浏览器最新 Stable 版本下构造 payload 读取 cookie 并发送到第三方域站点；提交绕过 payload 并简要描述绕过思路，即可获得4积分，60安全币(等同于300人民币)的漏洞赏金。
【规则要求】
1，如同时有多个选手提交了重复的绕过方案，以最先提交的选手为准，先到先得(不同的Payload如思路相同将视为同一种绕过方案)；
2，禁止入侵靶场机，在靶场机上执行命令，恶意下载靶场机文件
3，禁止利用web站点之外的漏洞，如操作系统，数据库exp
4，禁止长时间影响系统性能暴力发包扫描测试
5，禁止使用对他人有害的代码（如蠕虫/获取他人敏感信息的操作等）
6，只对提供的漏洞参数点进行绕过测试获取指定信息即可，禁止测试其他漏洞
7，不可与其他测试选手共享思路，不得私自公开绕过技巧和payload
8，请勿扰乱其他测试选手进行测试，不要破坏主机环境
【提交方式】
请将符合评分标准和规则的报告提交到TSRC (
https://security.tencent.com/index.php/report/add)；
标题以“[门神WAF挑战赛]”开头，先到先得。
