buuctf0-[ACTF2020 新生赛]Exec题解

进入链接查看网站是是什么样的

是一个ping输入框，有可能是对输入的数据没有做验证。

输入127.0.0.1试试

是个ping命令那么我们试试加入执行其他的恶意参数，看看回显有什么变化，这里我用的是&&来连接后面的操作命令

可以对比之前的回显发现多了一个文件显示，说明命令执行成功了，那么我们就试试查询一下根目录的文件

输入 127.0.0.1 && ls /

查看根目录的文件信息

回显显示了flag文件，可以知道根目录下面有一个flag文件，那么我们读取这个文件就可以拿到flag了，可是我们现在的路径对不上根目录所以用下面的指令来读取根目录的flag文件

 127.0.0.1 && cat /flag

这样就拿到了flag

flag{84eaa893-1b98-439e-87fb-9aad058e4215}