XCTF

XCTF-WEB-CAT 打开题目咱们先搜索提示，发现点击submit啥都没有。 咱们尝试输入127.0.0.1（本地） 点击submit 咱们进行一波fuzz测试：127.0.0.1&&dir、127.0.0.1&&ls、127.0.0.1|ls 发现全都被禁了。如是 如是乎，咱们尝试输入：@/opt/api/api/settings.py,获取数据库名 爆出数据库名，@/opt/api/dat

>>阅读原文<<