[MRCTF2020]PYWebsite

先点一个买试试，发现是真的二维码，我就不去扫了，肯定不是这样出解。

那我先去查看源码

纳尼，意思是我们的md5传入这个就会是验证通过，同时下面还给了一个目录/flag.php，先访问看看

这句话有点意思，只有两个人的IP可以看到，一个是购买的，一个是它本人–它本人就是127.0.0.1撒

那我们XFF文件头伪造IP就行了