9.9 Bugku nextGen 1,2

1.

用Burpsuite抓包发现以post请求上传 service参数
题目又告诉了 /flag.txt
直接用file协议读取

service=file:///flag.txt

2.

在1的基础上进行了过滤
必须要是 xxx://xxxxx/xxxxx 这种格式
所以中间要加 127.0.0.1 但是127.0.0.1和localhost也被过滤了
常见替代:
127.0.0.1 =
127.1 =
127.0.1
这两个就可以绕过过滤
最终payload:

service=file://127.1/flag.txt