Этот вызов создан мистером Блейдом.

Мы видим, что он загружает страницу входа с параметром page.

Пронумеруем файлы. Сначала я попробовал admin и использовал кодировщики base64.

Когда мы расшифруем это, мы сможем получить путь к flag.txt.

‹center›
‹h1›‹?php include(‘/flag.txt’); ?›‹/h1›
‹/center›

Я использую https://github.com/synacktiv/php_filter_chain_generator/blob/main/php_filter_chain_generator.py
для получения RCE.

python3 filter_chain.py — chain ‘<?php system(“cat /flag.txt”);?>’ | grep ‘^php*’ | xclip -selection clipboard

Я скопировал полезную нагрузку в буфер обмена и поместил ее в параметр страницы.

Спасибо за прочтение.

Удачного взлома!