ctfshow-菜狗杯-抽老婆

任意文件读取

抽老婆

打开首先发现是一个图片下载（老婆们都很不错_(￣▽￣)*），感觉也没什么其他的东西，先F12看一下代码，发现有一处标注，感觉跟任意文件下载有关：

(一开始的错误思路：）

想着先扫一遍看看能不能发现啥，于是用dirsearch扫了一下，
发现了/console,访问显示需要PIN，

也没有什么提示不知道能不能爆破出来，先抓个包看看，发现返回的响应包中有，改一下值，改为true，

发现验证就通过了：

但是我不会了。。。。后来看了一下wp，发现这个思路是错的，还是应该从文件读取入手。

（正确思路：）

于是先试一试读取flag：

被过滤了🤪，不过不要气馁，多试试，再尝试随便读一个111.jpg：
发现没有过滤了，出现了报错：

里面暴露了一些路径，猜测app.py是网站源文件,下载下来先看看（但是这个路径，我不太了解为什么就是返回两层，是开发经验吗）：

# !/usr/bin/env python
# -*-coding:utf-8 -*-

"""
# File       : app.py
# Time       ：2022/11/07 09:16
# Author     ：g4_simon
# version    ：python 3.9.7
# Description：抽老婆，哇偶~
"""

from flask import *
import os
import random
from flag import flag

#初始化全局变量
app = Flask(__name__)
app