猜下一个数，前面这几个数都是随机的
查看源代码
当传入的password和$_SESSION['password']相等时才能得到flag
burp抓包
需要改两处地方
这两处置空，发包，得到flag
最近也是水了几期文章，出差将近一个月了基本没时间做ctf相关的东西，这些东西虽然都是一些小的知识点，但是都是这些小的知识点组合起来的，无论是你们口中的黑客还是所谓的红客，其实找漏洞和买股票是一样的，在你不懂的时候你可能是瞎搞搞，但是你掌握了知识之后，你会发现他是一套有规律的东西，web方面，最主要的目的就是操作数据库，而操作数据库最直接的方法就是sql注入，但是现在无论是框架还是其他的一些安全组件，基本不可能存在sql注入了，我记得我最开始学安全的时候，账号密码 ‘ 1=1 or 随便就可以进入了，谷歌黑客语法随便就可以找到一些可以进入的后台。当然现在也可以，但是都是一些没有实际作用的后台，当然，你们可以去尝试一下。网络安全之路任重道远
