打开页面发现就是老虎机每次按都有3个图案应该是要3个图案都是一样的才有提示这里直接用burp进行爆破得到提示PHP 数组和数字比较的弱类型规则刚开始以为是目录后面才知道是文件名加上.php进行访问是一个比大小的游戏但是不管你怎么输入系统的数字永远比你大1用数组直接绕过因为在php中数组和任意数字进行比较数组永远大于数字然后得到提示进入到下一个页面应该是个ping命令XFF伪造来源获得权限但是输入IP的时候会提示 “权限不足”源代码有2个注释解码之后提示“地址哦”然后又提示4个1那么使用XFF伪造来源为1.1.1.1即可得到授权任意命令执行使用代替空格使用正则表达式来获取flag然后使用命令拼接来获取flag