先用BP抓下包，發(fā)現(xiàn)敏感php文件./Archive_room.php

訪問http://2c3ee119-35cd-4566-9b5f-58057f82ff2a.node3.buuoj.cn/Archive_room.php 該文件

然后通過BP查看到action.php里的內(nèi)容

訪問 secr3t.php,拿到該目錄下的php文件

對代碼進(jìn)行審計(jì)，發(fā)現(xiàn)調(diào)用了下面幾個函數(shù)

• highlight_file: 對文本進(jìn)行高亮處理

• error_reporting(0): ?不拋出異常

• strstr: ?查找字符串的首次出現(xiàn)

• stristr: ?strstr() 函數(shù)的忽略大小寫版本

無法進(jìn)行目錄穿越 和 php://input 調(diào)用系統(tǒng)命令

使用php://filter 協(xié)議 進(jìn)行繞過

構(gòu)建URL

?file=php://filter/read=convert.base64-encode/resource=flag.php

然后解密即可