有waf,尝试着查看index.php可以正常返回加密的base64,解码后得源码。简单分析，需要满足传入有flag并且传入的字符数要>800才会满足包含条件。