@kojp valo的确是一位神一样的大牛，是我的好朋友。如果你见过他，那么应该是在wooyun，习科或者其他著名论坛里面。

@binux 所以才需要测试啊。。。其实测试一下就知道是不是真静态了，测试起来也很简单啊！

@panlilu 有没有性趣一起啊，大神。社工方面我也有考虑，现在很传统的比赛方式是给一个邮箱或者给一个xss，然后直接发xss平台构造好的链接，下一步就是进后台。我现在是在思考一种新的方式。还有，我原来设计的后台部分并不是通过一个注入拿两个key，但是南邮方面说是注入拿一个key，HTTP_X_FORWARDED_FOR一个key，上传一个key。我原来设计的是HTTP_X_FORWARDED_FOR注入。。。。

@panlilu 上传不是不完善，是做了文件后缀的验证和文件头验证，但是后台给了提示说是php的，那么就要加上php标签才可以，构造一个文件文件名可以是xxx.php.rar，文件内容是Rar!<?就可以了

@binux 也不能这么说吧，现在伪静态技术已经很成熟了，以前参加一比赛也是伪静态，更坑爹，直接给的是图片。。。

@panlilu 厉害啊！第一关就卡了不少人呢！代码还需要改进啊，包括设计思路，求加入啊！

@ttskym 不不不，我朋友是

@ttskym 抱歉哈，刚才在无聊关注了一下昨天CJ的黄陶大战。。。

@janxin 你说的没错，出名的还有DVWA，但现在大多数代码都是基于php的。这样的话，如果测试项目是自己用，还没什么人，如果是给一部分人用，那么即便仅仅是测试，测试程序的代码本身的安全性还是略为堪忧，如果再作为比赛试题的话，也有泄露源码的风险。如果是用python或者是perl、ruby、nodejs这样的来做，就可以从根源上避免作为比赛用题的尴尬境地。。。
大神有性趣参与不？目前是我一个人在做，还有很多很多东西需要添加上去。

我用webpy都是动态重载的。除了要重新import之外似乎不需要重启。

@swulling 咦，西南大学的同志？

@SR1 mod_python 真心不好用。。。

IDE：eclipse+pydev（推荐），也有说用pycharm的，不知道我机器配置垃圾还是咋的，特别卡。
数据库：你看着办，那么多数据库呢，mysql，sqlite，postgreSQL，access等等（推荐sqlite和mysql）
python相关：setuptools(强烈建议),
web模块：webpy,bottle,tornado,django,flask等等（这你自选）
数据库相关模块：根据你数据库自选吧
模板：mako，或者jinja2，我就推荐这俩模板
web服务器：iis就不要考虑了，apache，nginx这两个强烈推荐，lighttpd也还行，但是配置文档不多。
发布方式：可以用web服务器+反向代理(自带cherrypy)，也可以用wsgi
另外你还得注意各种编码问题，楼上有人说notepad++，我个人也推荐这个，写前端模板很好用，实在不行eclipse也可以解决。
我暂时能想到的就这些了，还需要什么帮助可以找我，不用太感谢，哈哈哈

pycharm我体验了一下感觉卡的一比，可能是我机器配置太低。。。T6670，6G内存，GT220M垃圾显卡。。。
不过话说我用eclipse+pydev从来不调试，每次都是web.config.debug = True，出错了直接看错误信息然后你懂的。。。自我感觉效率还行。。。

我的环境是ubuntu + apache + wsgi + webpy(bottle) + mysql (sqlite,postgesql)
这种东西配置起来大同小异吧，看见上面说的，yum并不影响啥。撸主你说的一键安装shell没见过。
我配置的时候是apache，mysql 各自分别安装，wsgi也是apt-get来的。webpy，mako，MySQLdb啥的都是easy_install ,主要环节是apache或者你的nginx，配置httpd.conf文件，注意做好alias，模块加载，项目路径就行了。