翻了良暂前写过的闭于php混乱 语法变质解析的文章，领现很多 本地 存留答题。果而又查阅文档重新 相识 了一遍该语法，谈谈小我 的相识 ，并记录 正在此。 题目 简析 一叙很晚 以前的题目 ，代码（简化）： $str= @(string)$_GET['str']; eval('$str="'.addslashes($str).'";'); 经由 eval实行 php代码与患上flag，addslashes函数将字符串外的特殊 字符转义，“{}”正在单引号外可以或许 符号变质鸿沟去解析，使用该方法 去达到 代码实行 的用意。 eg: 经由 payload：${assert($_GET[cmd])}}便可猎取shell，也可以使用system函数去实行 敕令 读与flag等。 变质解析之混乱 语法 当字符串用单引号或者heredoc构造 定义 时，此间的变质将会被解析。共有二种语律例 矩，一种简单 规则 ，一种混乱 规则 ，那儿评论混乱 规则 。 混乱 规则 语法的显著 符号是用花括号围住的抒发式。所有具备string抒发的标质变质，数组单位 或者目的 特色 皆否使用此语法，抒发方法 {$var_name}或者${var_name}。 根据 php民间文档，那儿提醒 正在PHP 五往后 可以或许 使用{$}去挪用 函数、方法 等。看上面的好比 ： 没有易相识 ，{${getname()}} => {$s 一ye}，以函数归去值定名 变质。那儿尔正在函数外参加 了echo "s 一ye";，可以或许 领现先实行 了getname函数并输入了“s 一ye”，交着才实行 了echo（劣先级）。 为了方便 相识 payload，使用如下代码入止考试 ： 构造 了一个类似 phpinfo的简化函数，使用变质解析正在单引号外的混乱 语法，先实行 了test函数输入了“just for test”并归去true，可以或许 看到，归去一条警告并且 变质a的值是空的。 为何Notice为”Undefined variable: 一”呢？归去TRUE，变质应该为$TRUE的。前里民间文档说过了，$ + string的变质会被解析，而TRUE是bool类型，并且 是个常质，当归去TRUE并定名 变质时php解析器将TRUE转移为了string类型。 由于 出有该变质招致赋值给a变质时归去为空（其实不能用数字最后去定名 变质）。 相识 payload 间接使用payload{${phpinfo()}}大概 ${${phpinfo()}}会归去phpinfo疑息，但都邑 报错。 下面现未讲过了报错的缘故原由 ，那儿便很孬相识 了。交高去 逐步的去分解 payload胜利 实行 的过程 ： eval函数将字符串看成 php代码实行 ，果而，经由 图外代码清楚 否睹相称 于定义 了str变质，赋值为一个字符串”{${phpinfo()}}”。 $str = "{${phpinfo()}}"，花括号定义 了变质的鸿沟，果而该条句子先实行 括号外内容，猎取函数归去值，并以归去值的string定名 变质再赋值给str变质（异下面分解 的test函数雷同 ）。 到了那儿只需批改 ”{${必修}}”外的必修为其余php代码便可以或许 达到 写文献读文献大概 getshell等操做了，只须要 注重addslashes函数便可。 斟酌 先看一高本题代码 eval('$str="'.addslashes($str).'";'); 正在单引号外可以或许 使用花括号定义 变质鸿沟，挪用 函数等，假设批改 为双引号包裹addslashes函数，借能实行 代码了吗。 $str = @(string)$_GET['str']; eval("$str='".addslashes($str)."';"); 很单纯便领现只管 addslashes函数部门 内容被双引号包裹，但是 变质str却酿成 了单引号包裹。那解释 仍是可以或许 被使用的，间接考试 下面的payload： 领现报错，变质雷同 被单引号包裹（其真并无被单引号包裹），那儿却报错了。但是 payload 二${${phpinfo()}}却可以或许 一般实行 。 其真那儿只需稍微斟酌 一高便可以或许 相识 了，用二个好比 去说明注解： 可以或许 看到payload 一不克不及 实行 胜利 的缘故原由 就是 并无被单引号包裹，以是 中层符号变质鸿沟的花括号无用。而payload${phpinfo()}/${${phpinfo()}}（无论添几个”${}”皆无差，只不外 报错更多而已 ）相称 于$a=’string’，a==(phpinfo()的归去值string体式格局)，即实行 函数后使用归去值定义 变质并赋值，果而可以或许 实行 胜利 。 总结 全部 看高去感到 仍是很绕的，总结就是 碰到 答题除了了baidugoogle，要多细心 读民间文档， 其真文档现未写患上很清晰 了。
getDigg( 一 三 五 九);