BUUCTF Le mystère de l'IP

• Injection de modèle SSTI de PHP
• Allez à l'intérieur et vous voyez une belle page
• Vous ne pouvez pas vous empêcher de commander un drapeau
• Il vous indique votre adresse IP, mais cela ne semble pas être mon adresse IP, n'est-ce pas?
• Puis j'ai cliqué sur ASTUCE
  
• Regardez le code source et ne trouvez rien. Regardez wp
• Trouvé bizarre dans X-Forwarded-For
• Récupérez un package et ajoutez X-Forwarded-For: { {127.0.0.1}}
  
• Apprentissage de l'injection de modèles python pour déconner plusieurs fois
• {system("ls /")}
  
• {system("cat /flag")}