buuctf [ACTF2020 新生赛]Exec 1

[ACTF2020 新生赛]Exec 1
打开以后是
有个输入窗口有个ping
可能是sql注入，也有可能是命令执行漏洞
先ping一下本机地址：127.0.0.1
有回显：
PING 127.0.0.1 (127.0.0.1): 56 data bytes
那就基本确定是命令执行漏洞:

命令执行有一个参考：
https://blog.csdn.net/hintll/article/details/117790643?spm=1001.2014.3001.5501
直接上手：
先看一下目录:
127.0.0.1 && ls 这个执行不了
那就试一下这个： 127.0.0.1 & ls
有回显：
访问index.php这个文件
结果它又把页面显示了一遍
猜测可能是linux的系统：
去查一下
试一下吧它的目录全部显示出来：
看到了flag的文件：
尝试读取
127.0.0.1 & cat/flag
127.0.0.1 & cat flag
127.0.0.1 & cat /flag/
都没有回显
直到
127.0.0.1 & cat /flag
才有回显
原因是