看一下页面源代码

看到有这么一段注释

我们需要传入b_u_p_t，但是又不能有下划线

可以使用空格，.，%5F绕过，也就是说我们参数如果是?b u p t的话，变量名会被解析为为b_u_p_t

然后要求传入的b_u_p_t参数不能为23333 但是正则又必须匹配以23333为开头和结尾

所以payload

?b u p t=23333%0a

然后提示前往secrettw.php

抓包，改包，发现没什么用

而且在页面源代码发现

这里是JsFuck加密

在线解密：JSFuck - Write any JavaScript with 6 Characters: []()!+

或者放控制台也可以

所以需要post一个Merak

回显了源码

";
$ip = getIp();
if($ip!='127.0.0.1')
echo "Sorry,you don't have permission!  Your ip is :".$ip;
if($ip === '127.0.0.1' && file_get_contents($_GET['2333']) === 'todat is a happy day' ){
echo "Your REQUEST is:".change($_GET['file']);
echo file_get_contents(change($_GET['file'])); }
?>  

if($ip === '127.0.0.1' && file_get_contents($_GET['2333']) === 'todat is a happy day' ){

需要改包

CLIENT-IP: 
X-FORWARDED-FOR: 
X-REAL-IP:

然后data协议进行绕过

2333=data://text/plain,todat is a happy day

传入的file会被函数change处理，然后进行文件包含

先对参数进行base64解码，然后遍历字符串，先将每一个字符使用ord转为ascii码，然后加上该字符的位置对应的数字的2倍，然后再使用chr函数讲ascii码转为字符串，最后拼接在一起形成新的字符串，我们需要经过处理后输出flag.php

反向加密脚本：

输出得到

ZmpdYSZmXGI=

payload：

?2333=data://text/plain,todat is a happy day&file=ZmpdYSZmXGI=