初中时地理老师会给我们放《航拍中国》，直升机视角下的山川湖泊、人文习俗给小小的我带来了极大的震撼与憧憬。但受限于学业繁重与父母对旅行并不感冒，所以在上大学前我也只是在小学的时候去过成都和昆明。高三后期最难熬的时候大家都在讨论高考假怎么旅游，但是高考完后被母亲无情泼了盆冷水。于是那个本该是最轻松最长最没有顾虑的暑假，我在家里面一边被迫听网课一边羡慕朋友圈的好朋友都在到处旅游。（虽然那时是因为还没有成年，但还是好可惜

查看 app.log，发现多条 GET /?user=... 请求。对参数值进行 URL 解码和 Base64 解码，再静态分析 pickle 数据，可见其中包含 os.system 调用。第 89 行执行的命令是 whoami，后续请求还尝试读取文件，并包含反弹 shell 命令。

联想到robots.txt并进入robots.txt，再进入l34RNpHP.php看到源码

Typecho 是一款 PHP 博客系统。题目的附件是 Typecho 源码，在 install.php 中存在 PHP 反序列化漏洞。攻击者可以通过构造恶意的序列化 Cookie，触发远程代码执行（RCE），最终获取服务器上的 Flag。

CTF² 下载附件得到一份GIF文件，打开GIF文件看到中间会闪过疑似flag，于是分离GIF

Java考试前的补天