快睡的时候，打开B站发现有位用户留言，大意就是让我帮忙看一道题，正好当时有空，于是就打开了他发的链接，代码如下
就可以将一个变量输出，那么如果使用它呢，你只需要构造如下的payload
$_="xxx";?>
这样就可以将变量$_里面的内容打印到屏幕上，而且关键的是这个输出方式默认是开启的，管理员很容易就忽视这个选项。所以在做题时不妨一试。
2. 其他的命令执行方式
当system，passthru等不能用时，网上会告诉你可以使用popen,proc_open这些管道命令去进行执行命令，当然这没有问题，而这里我向你介绍一种新方式，使用反引号，在PHP中，被两个反引号括起来的内容将会作为shell命令执行，并将输出信息返回，所以你可以构造下面的payload进行命令执行
$_=`ls`;
3. 不能使用数字字母的命令执行
当不能使用字母数字时，当然你可以使用上述的方式构造字符串进行执行，但是这里提供一些新东西，对于linux中的shell是支持正则表达式的，当你忘记某些字符时可以通过? % *来代替，经过测试，这里的匹配方式也是按照顺序进行匹配，所以你可以查看你的linux中/bin目录下面的顺序，来获取一些可以使用的命令，比如
/???/??? => /bin/cat
那么这样的话，如果要获取/var/www/html/index.php（你得感谢apache默认目录如此之深），则可以直接使用
/???/??? /???/???/????/?????.???
来获取
总结
这篇文章只是针对这道题而延展出的一些东西，在真正做题时，情况可能更加复杂，例如限制长度，限制参数等等情况，而我们的做法也不可能千篇一律，可能某些时候我们甚至会用到一些CVE漏洞。而本篇文章只是告诉读者一些可能以前没有见过的新东西。
那么本篇文章就到此结束了。
如果想更多系统的学习CTF，可点击文末“阅读原文”，进入CTF实验室学习，里面涵盖了6个题目类型系统的学习路径和实操环境。
精选：2019原创干货集锦 | 掌握学习主动权
了解投稿详情点击——重金悬赏 | 合天原创投稿涨稿费啦！
你的每一个在看，都是对我们的支持！
