[BJDCTF2020]The mystery of ip

[BJDCTF2020]The mystery of ip

主页，hint，flag页面依次如下

这里显示了我的ip，有点奇怪，f12查看源码

更加奇怪了，它怎么知道我的ip的，题目也是ip的秘密，盲猜是与XFF有关，bp抓包添加一下X-Forwarded-For:hack

输入什么东西输出什么，测试一下{{7*7}}应该是是ssti注入，{{system('ls')}}查看一下目录看到flag.php但是也有hint.php，好像是本来的页面，还是查看一下{{system('cat /flag.php')}}发现为空，果然不行，重新查看一下目录:{{system('ls /')}}发现了新的flag，这个应该是，直接查看（{{system('cat /flag')}}）得到flag

撒花结束