一.Linux命令长度突破
1.源码如下
<?php
$param = $_REQUEST['param'];if ( strlen($param) < 8 ) {echo shell_exec($param);
}2.源码分析
echo执行函数，$_REQUEST可以接post、get、cookie传参
3.破题思路
源码中对参数长度做了限制，小于8位，可以利用文件包含中学习到的临时函数，构造一个post传参的数据包，因为php将上传文件保存在tmp的临时目录底下，因为Linux特殊机制，可以用.来执行没有执行权限的文件，使用t*/*来匹配刚才上传的临时文件，shell_exec就会直接执行系统命令
4.过程
post数据包
构造数据包匹配临时文件
成功执行命令
二.RCE(利用php伪协议解题）
<?php
error_reporting(0);
if(isset($_GET['c'])){$c = $_GET['c'];if(!preg_match("/flag|system|php|cat|sort|shell|\.| |\'|\`|echo|\;|\(|\:|\"|\<|\=|\/|[0-9]/i", $c)){eval($c);}
}else{highlight_file(__FILE__);
} 1.代码分析
代码对一些特殊字符进行了过滤，例如flag、systemctl、标点符号、还有数字等等，一旦检测出这些特殊字符就会跳出代码不能执行
2.解题过程
因为对括号进行了过滤，所以只能使用一些不带括号执行的函数，例如include，因为eval要带括号进行执行函数，括号又被过滤，所以可以使用断标签?>来结束eval
3.结果
使用了base64对flag文本内容加密，所以此时需要解密
4.防御手段
在php.ini中禁用allow_url_include或者配置白名单。
三.RCE(php中点的构造）
1.代码分析
<?php
highlight_file(__FILE__);
if(';' === preg_replace('/[^\W]+\((?R)?\)/', '', $_GET['code'])) { eval($_GET['code']);
}
?>该代码中过滤了数字，字母和下划线，\w匹配字母、数字和下划线，?R是递归匹配，后面的？是匹配0次到多次，所以该正则就是匹配无参函数
2.解题过程
构造无参函数进行命令执行或者文件，print_r(scandir('.'));可以用来查看当前目录所有文件名，共有两种构造点的方法，首先使用localeconv函数返回一包含本地数字及货币格式信息的数组，点就
出现在第一个数组当中，可以使用current函数，默认去到数组中第一个单元值，所以可以取到点，如果current函数被禁止，也可以使用pos代替该函数
成功执行命令
3.解法二
使用chr()函数构造点，因为chr()函数是将数字转为单字节字符串，.对应的数字为46，chr()函数是以256为周期，所以302 ，558都是点对应的
同样可以构造点，进行执行 。
