1. multi-headach3
结合题目暗示,存在 robots.txt。

访问 hidden.php 但是发现被重定向到了 index.php。

查看详细的包:
Flag 在响应头。

2. strange_login
考察 SQL 注入的万能密码。
Payload:
用户名:1'or 1#
密码可以随便输。

登录成功即可看到 flag。

3. 宇宙的中心是 php
右键、F12、ctrl+U 这些都被禁用。通过开发人员工具打开。

看到注释:
访问 s3kret.php。
intval() 特性绕过 该函数的原型:
int intval ( mixed $var [, int = ] )


































