打开页面发现就是老虎机,每次按都有3个图案
应该是要3个图案都是一样的才有提示,这里直接用burp进行爆破,得到提示
PHP 数组和数字比较的弱类型规则
刚开始以为是目录,后面才知道是文件名,加上.php进行访问
是一个比大小的游戏,但是不管你怎么输入系统的数字永远比你大1
用数组直接绕过,因为在php中数组和任意数字进行比较,数组永远大于数字
然后得到提示进入到下一个页面,应该是个ping命令
XFF伪造来源获得权限
但是输入IP的时候会提示 “权限不足”
源代码有2个注释
解码之后提示“地址哦”,然后又提示4个1
那么使用XFF伪造来源为1.1.1.1,即可得到授权
任意命令执行
使用+代替空格
使用正则表达式来获取flag
然后使用命令拼接来获取flag