点击进去之后是一个购买独角兽的界面，有四种类型的独角兽，前三种的价格比较便宜，最后的独角兽价格比较贵。告诉了我们只能使用一个字符，一个字符能够购买的就只有前三只独角兽，虽然我也没有购买成功hhh。所以猜测只要购买了第四只独角兽，就能获取flag，于是我们需要找到一个字符比1337大的数字。我们先尝试购买前三种独角兽，输入id，然后price输入9。回到购买界面，我们输入其他的价格，发现输入10的时

打开题目我们代码审计一下如果存在xxf头且不为空，则将xxf头内容（真实的客户端ip）赋给ROMOTE_ADDR（代理服务器传过来的ip地址）这段代码主要是为了处理通过代理服务器访问网站时获取正确的客户端IP地址这里需要注意的地方：1.没有对XXF的值进行过滤，可能存在XXF注入攻击2.XXF头部可以被客户端伪造如果get姿势传入的host为空，则会使用函数来将当前文件的源代码高亮显示输出。

在去年参加的第四届强网杯全国网络安全竞赛中，就遇到过命令执行漏洞绕过的题目 CTF解题-2020年强网杯参赛WriteUp（题目名称 “主动” ），当时采用了 base64 编码联合反引号、变量拼接两种方式绕过了 flag 关键字的过滤并读取了 flag 值：本文目的在于结合 BU_绕过空格过滤。所以cat$IFS$1`ls`也相当于cat falg.php;`` 反引号cat$IFS$1`ls`

（控制面板——编辑组——管理工具编辑组策略——本地计算机策略——计算机配置——windows设置——安全设置——本地策略——安全选项）终端输入nmap -sP 对在192.168.75.xxx网段下的所有电脑进行简单的ping扫描（不进行端口扫描）终端输入nmap -p，通过扫描端口，用端口的是否启用来获取靶机ip。创建新的管理员账户，账户名123，密码123（在shell控制台下）查看目标靶机的

打开题目得到题目源码代码审计一下get传入的code参数如果存在的话就赋值给code参数，如果参数里面没有/sys，pas等符号就输出一句话且执行code参数里面的命令如果有的话，就退出脚本运行并输出一句话，如果code参数的值不存在就输出另外一句话。解题思路我们可以先尝试一下,这里是php语句，所以我们要在语句最后加上；?这里用printf也是一样的结果得到那我们去查看一下根目录?发现了flag

isset()函数可以检测「变量是否存在」并非NULL。常用来判断变量是否被定义。

可以用 phpstudy 搭建 web 环境，将这些文件放在 www 根目录一个文件夹，遍历访问。这些文件都是 getshell 文件。能把传入的变量执行系统命令。所以脚本需要遍历这些php文件，然后判断所有的参数是否可以执行。最终找到了利用文件： xk0SzyKwfzw.php。根据提示下载网站文件，发现为很多PHP文件。找到了利用的参数：Efa5BVG。

题目如下用wireshark打开流量包筛选post请求注意到第30行追踪http流发现有很奇怪的token我们知道，Header会被Base64Url编码为JWT的第一部分。所以认证为jwt认证对jwt的token解密得到。

可以得到回显结果，猜测是命令执行，尝试使用。输入127.0.0.1。查看写入的文件，即访问。在根目录找到了flag。尝试修改文件名后缀为。

显示用admin&password=admin!有发现说cookie，就尝试用。提示用admin用户登录。尝试弱口令发现，登录失败。用admin登录成功。