2017第二屆廣東省強網杯線上賽——WEB-who are you?

打開網址 查看網頁源代碼 將網址在御劍裏掃 掃的同時，burpsuite抓包,一般情況下，考慮到出題說我是誰，所以一般想到用戶身份，會在cookie/session這邊動手腳 所以base64一下 得到f:5:"thrfg"; 挨個試了一下解密，發現是rot13（也有看別人的writeup） 因爲權限不夠，所以嘗試admin base64加密 之前又在御劍中掃到uploads目錄，但是是403 所

>>阅读原文<<