4月6日刷题日记

极限命令执行1

/[b-zA-Z_@#%^&*:{}-+<>"|`;[]]/
根据写的正则来看，能用的只有a,数字，了
我们可以使用ctf_show=/getflag来拿到flag

于是我们可以构造payload:ctf_show=/?????a?

签到抽奖

脑洞

感受下气氛

依旧是脑洞，正则匹配正确即可