本文记录了HCTF 2018 WarmUp题的PHP代码审计过程，核心漏洞在于checkFile函数仅验证截取后的文件名（如hint.php），而include使用原始路径，导致可利用?截断与../路径遍历读取隐藏文件。通过构造?file=hint.php?/../../../../ffffllllaaaagggg，骗过白名单检查，最终在根目录获取flag。关键点：?用于分隔参数和路径，../由操