这也是一个入门题的wp

第一题就不说了直接第二题PHP是世界上最好的语言！！

这题从题目看好像是考代码审计，所有先F12打开源码看看，但是我们发现源码好长，所有应该不是考的代码审计，我们看页面可以发现这个网页是应该解码网页，我们可以尝试在输入窗口直接输入一些php危险函数代码，如

1	system("ls /");

我们可以发现回显了文件名证明了没有过滤，而且在文件名里我们发现了flag我们直接使用cat来实现对flag的查看代码如下

1	system("cat /flag");

屏幕回显出flag。

第三题.导弹迷踪

这道题我们打开发现是一款游戏，你可以直接通过然后屏幕就会返回flag但是正常人都不会去打这款游戏的，我们观察屏幕可以发现左上角有个qualifying level资格级别，我们可以猜测关卡数应该是由‘qualifying level’或者level来命名，我们在源码中搜索后发现关卡数的变量是level，找到一个语句level==6后会发现如果通关后输出的flag就在后面

第四题Follow me and hack me

这道题目就是一个简单的传参题目用hackbar，首先用git传一个CTF为Lit2023后用post传一个Challenge为i’m_c0m1ng，首先我们打开hackbar在url上打下?CTF=Lit2023
在用post打下Challenge=i'm_c0m1ng
得到flag

第五题Ping

这是一道关于ping的题目我们尝试一下直接输入指令发现弹出只能填写ip，我们查看一下源码发现由于中间的一串js代码的影响如下

<script type="text/javascript">
  function check_ip(){
    let ip = document.getElementById('command').value;
    let re = /^(25[0-5]|2[0-4]\d|[0-1]\d{2}|[1-9]?\d)\.(25[0-5]|2[0-4]\d|[0-1]\d{2}|[1-9]?\d)\.(25[0-5]|2[0-4]\d|[0-1]\d{2}|[1-9]?\d)\.(25[0-5]|2[0-4]\d|[0-1]\d{2}|[1-9]?\d)$/;

    if(re.test(ip.trim())){
      return true;
    }
    alert('敢于尝试已经是很厉害了，如果是这样的话，就只能输入ip哦');
    return false;

导致我们只能输入ip所以我们可以暴力一点直接在控制台里禁用js然后在输入指令|ls /看见有flag文件，直接输入cat /flag查看flag

第六题 1zjs

打开又是游戏我们直接搜索flag没有什么信息在搜索php发现一个php文件的名字在url上搜索这个php文件屏幕回显出大片括号和感叹号在百度上一查是JSFuck，解码后得到flag

第七题作业管理系统

这道题目可以上传文件所有我们可以上传一个，一句话木马文件，只要在php文件下写下

1	<?php @eval($_POST[1]); ?>

上传成功后在url上访问上传的php文件之后在页面进行post的传值对系统进行指令操作查看flag，用post对1进行传值代码如下

1	1=system("ls /")

查看目录后用cat语句对flag进行查看

第八题 Http pro max plus

题目显示只允许本地运行，我们直接打开hackbar用xff进行修改ip为127.0.0.1。结果被嘲讽只会xff了，我们可以换一中client-ip来对ip修改。随后回显你不是来自pornhub.com。我们直接用Referer来修改请求网站，后回显要用chrome我们直接修改user-agent为chrome随后回显告诉我们要代理，代理为clash.win随后屏幕回显，在url打开php文件，后打开查看源码会发现另一个php打开就是flag