Apache Strutsの脆弱性(CVE-2017-5638)をテーマとした問題です。
本脆弱性は、ファイルアップロード時に使用するマルチパーサー「jakarta」に起因する脆弱性で、同マルチパーサーはApache Struts 2 にてデフォルトで使用しているものです。
　細工されたOGNL(Object-Graph Navigation Language)式を含んだHTTPリクエストを送信することで、リモートからApache Struts2 が配置された Web アプリケーションサーバーの実行権限で任意のコードを実行されてしまう危険性があります。

１．攻撃コードを使ってフラグを取得します。https://www.exploit-db.com/exploits/41570/
使い方は以下の通りです。
$ python ファイル名 URL コマンド

２．コマンドを変えてみる