[攻防世界]-WEB高手進階區-lottery

進入題目發現是一個購買彩票的網站，大概猜出flag是要買的 輸入任意用戶名註冊 在Claim Your Prize欄果然看到需要買flag，但現在餘額不足 通過看網站的robots.txt文件發現有.git文件泄露（其實爲了方便題目附件中已經給出了源碼） 用工具GitHack還原源代碼發現api.php文件中的一段抽獎代碼存在true繞過 利用此處漏洞購買彩票，輸入任意七位數字點擊Buy抓包 將P

>>阅读原文<<