image-20260315184805756

一进来很莫名其妙，点什么都没反应，于是用dirsearch扫一下目录，在扫描是用很多状态码是200的无用响应，根据它们的长度过滤一下就行了，命令

​ dirsearch -u http://node7.anna.nssctf.cn:xxxxx/ –exclude-sizes=20KB,21KB

扫出admin.php，访问可以看到一个表单，账号admin，密码12345

image-20260315190314901

最后到了一个页面

image-20260315190417721

这的功能还挺多的，在“设计->自定义“，有一个导出主题功能

image-20260315190541029

随便输一点，保存后抓到一个包

image-20260315190817802

这个包没什么用，把这个包放行，再收到一个包有个theme传参是一段base64编码

image-20260315190858258

解码可以得到一个绝对路径

image-20260315191050864

既然是通过绝对路径来下载文件的，那这里就有任意文件下载漏洞了

将其改为/flag的base64编码->放行，会得到一个flag.zip文件，打开得到flag

image-20260315191212207

image-20260315191449888