BMZCTF-hctf_2018_warmup

BMZCTF-hctf_2018_warmup

查看源码发现source.php

访问source.php,发现其源代码，

发现白名单里面有hint.php,再次访问

发现在flaaagg里面，尝试访问，不行
看了大佬的博客，发现这个文件可能不在该目录下，利用…/尝试，

http://www.bmzclub.cn:21298/source.php?file=source.php%253f../../../../../flaaagg

发现这个里面可以

成功。