MRCTF web套娃 write up

打开环境查看源代码，发现让我们传b_u_p_t,但是url里不能出现_和%5f，%5f和%5F是一样的，所以直接用%5F绕过

   23333$ 在正则表达式里$可以表示结束位置，但也可以匹配换行符,因此这里可以用23333%0a来绕过

  之后可以看到提示信息，说flag在secrettw.php里，打开页面
在源码处发现一段JSFUCK，解码提示post一个Merak参数，传入一个值后出现源码

要求ip为127.0.0.1， 用client-ip绕过
file_get_contents($_GET[‘aaa’])===‘ss ss’ 可以使用data:// 绕过
data://text/plain,ss%20ss (字符串)（在bp里注意不能出现空格否则无法全部解析，用%20）
接下来还需要绕过change
flag.php 转为ZmpdYSZmXGI=
最后构造payload：?2333=data://text/plain,todat%20…&file=ZmpdYSZmXGI=