1.抓包修改 ​ 提示修改id,postman修改headers里面的id 分析得到id是admin加admin的base64编码,payload为id: adminYWRtaW4= 请求后又提示请使用主机访问,修改xff, X-Forwarded-For: 127.0.0.1 再次请求又提示要从谷歌访问,修改Referer,再次访问得到flag 2.文件上传漏洞与文件包含 ​ 写好木马,修改mime,绕过类型判断.但是发现服务器将上传的文件进行了重命名,文件类型.php也被改为了.jpg.观察…