[HCTF 2018]admin

[HCTF 2018]admin 題目進去是一個登陸框，嘗試用admin帳號萬能密碼登陸一下發現不行php 有個註冊頁面註冊一個帳號登陸python 試試sql二次注入，好像有waf過濾了" ’ "mysql 查看頁面源碼提示<!-- you are not admin -->git 查看cookie有個session，應該是讓咱們僞造flask session 能夠用flask-unsign解密

>>阅读原文<<