Please enable Javascript to view the contents

[RoarCTF 2019]Easy Java

📅 2019年12月14日 · ☕ 1 分钟 · 🎅 Lurenxiao · 👀... 阅读

反序列化漏洞

开头看到这个，爆破。

用户名admin，密码admin888

获得一个照片地址，但没啥用，点help，发现请求不了，连刚才给的照片地址都请求不了。

看了大佬wr，发现把请求改成post可以访问

之后访问WEB-INF/web.xml

根据com.wm.ctf.FlagController可以访问flag

把这一段base64解密可得flag

作者

Lurenxiao

学生