题目作为小练手还行，具体细节不必较劲。
目录
①真.签到
②真的是文件上传吗？
解法1
解法2
①真.签到
访问/robots.txt
base解码在线工具
hint直接base16解码，也算真给hint了，新生一个一个翻过去就好,在[SWPUCTF 2022 新生赛]js_sign题里找到了tap_code
详见
password先base32再base64解码得c9fa95881ea0152791d4a759dacd79de
一眼md5
md5解密在线
username用敲击码
敲击码在线
ctfer Nss直接登录
F12看注释
访问/F111n4l.php
这个绕过没咋见过啊，开搜秒了
记周赛遇到的一个is_numeric问题
payload:
?nss=732339662,1
②真的是文件上传吗？
经R3gr3t大师傅提醒，后端应该是调python xxx.jpg/png，所以以下两种解法都可
解法1
习惯先改个前端（也可不改）
从响应头看到服务器是py的，直接上传__import__("os").system("env");
解法2
先是brainfuck解码
提示让我们传一个flag
?flag=0x401
上面那个直接拖浏览器的console运行就可
弹窗“传个木马？”
下面那个扔给base64解码
看特征再base85解码
再base92解码
再base64解码
再base32解码
再base16解码
再base64解码...
再base32解码......
再base16解码.........
再base64解码............
再base32解码..................
最后base16解码拿到hint:"你上传的即是命令"
（请允许我一条一条写出来，非这样不足以表达出做这题的无语感）
直接上传文件改文件名就好
;env;.png
拼接后是python;env;png
可以执行env命令
