<?所以放弃了,看writeup学到个黑科技(这tm都可以。开始想到的是svg,但是basa64编码过的总是出现on被过滤,而且只存在在firefox,而题目要求chrome所以有点儿雪崩,后来看了writeup,知道了link这个黑科技。admin,然后以amdin账号注册账号,典型的csrf。admin用户的密码就是admin,username字段长度16,password字段长度32。1(长度大于32),绕过admin不能登录的限制。phpinfo文件,然后通过login.php~备份文件获取到了internal.php这个路径,但是无法访问,根据内部测试系统,可能是限制ip。