Buuctf-Web-[ACTF2020 新生赛]Include中的漏洞如何利用？

本文共计490个文字，预计阅读时间需要2分钟。

前言：以下是对伪原创内容的简化改写，内容来自刷题网站：https://buuoj.cn/challenges

简化内容：欢迎访问刷题平台——buuoj.cn，这里是挑战编程题目的好去处。

前言

刷题网址：buuoj.cn/challenges#[ACTF2020 新生赛]Include

---

首先打开网页，提示tips点击他，根据题目提示很难不想到是文件包含，但是提示是能找到外面的flag吗，如下图。

这里我猜想的是否在上上一个目录，../上一个目录，但是无论我输多少都不行。

所以这里我转换思路尝试去读取，index.php，发现也不行，所以这里我猜想的是，是不是php伪协议，关于php伪协议的东西可以自行百度查找，这里我使用php://filter读取文件，发现读取成功，这里我读取的是index.php，读取使用的payload如下，是把文件以base64的方式读取，然后我们拿去网址在线解密。