我们要想拿到最后的flag，需要满足password=100和username=admin，因此我们可以把上图代码放到phpstorm里面，定义类Name的对象，令对象属性username=admin和password=100，最后把这个对象进行序列化输出。尝试上传一句话木马后缀名为phtml的文件，出现弹窗说只允许上传图片文件，推测是前端验证，因此修改后缀名为jpg，再上传，用burpsuite