任务六：Web学习
内容：1.查阅PHP官方文档，学习 eval() system() assert() shell_exec() exec() passthru() 执行函数，并掌握不同函数的运用执行
2.查阅正则匹配中的反向引用并了解 preg_replace()/e 下的模式匹配问题
3.到菜鸟教程，在 “MYSQL 教程” 里学习"MYSQL WHERE子句" “MYSQL LIKE子句” “MYSQL UNION” “MYSQL 排序” 的内容，主要掌握命令行下的操作；可以在 phpMyadmin 里借用 security 库进行相关操作实践
4.完成 BugkuCTF 的 “字符？正则？” “各种绕过” “细心” "urldecode二次编码绕过”
（注释：部分PHP的内容在5.X版本和7.X版本存在差异，有的内容在7以上不能实现；最好借助一下phpstudy的不同版本都尝试一下）

PHP继续学习

先解决一个PHP单双引号嵌套的问题。
简单概括，就是双引号内的$变量都要被执行，但加上反斜杠""后都不被执行。

eval()
此函数的作用是将提供的字符串当做标准的PHP语句来执行。
故提供给该函数的参数字符串必须是标准的PHP语言。(需要带上“;”)
其间代码的执行域是开始调用eval()函数的作用域。和主体代码一起使用同一套PHP tag标签。
实验时注意到如果仅有PHP语言则仅仅只有开头的tag ‘<?PHP’文件也可以正常工作。（想想也应该是这样）

system()
system用于执行外部的程序并显示输出。注意是外部程序。
注意该程序的目录必须要被设置为环境目录。并且PHP要开放system()权限。

assert()断言函数
这个函数看了许久，又尝试运行了许多遍，终于明白了他是怎么运行的了。
要提供两个参数，一个是用于断言的布尔类型表达式，一个是错误返回信息。
函数的控制参数：
在PHP5和7中，断言函数的控制参数由assert_option()函数提供，具体可见官方文档：https://www.php.net/manual/zh/function.assert-options.php
这一类在官方文档中被称作为 traditional assert。
比如：

所以提供给该函数的语句字符串必须要保证可以提供bool类型的返回值。

另外再PHP7中还可以靠设置.ini核心文件中的zend.assertions参数和assert.exception来控制在遇到断言失败时的行为。

shell_exec()
将字符串当做shell命令来执行。作用同反引号``。

！！！！ exec()函数与system()函数的区别：
| exec |system() |
|-不自动输出-|-自动输出-|
| 只获取最后一行运行结果 | 输出全部运行结果 |

用两个命令分别运行 “ping 127.0.0.1”


运行结果分别为：

以及：

但是，exec()函数的第二个参数会将运行的全部结果保存。
上面的$output的print_r结果为：

passthru()
所执行的 Unix 命令输出二进制数据， 并且需要直接传送到浏览器的时候， 需要用此函数来替代 exec() 或 system() 函数。

preg_replace()/e 下的模式匹配问题

replacement中可以包含后向引用\n 或$n，语法上首选后者。 每个 这样的引用将被匹配到的第n个捕获子组捕获到的文本替换。 n 可以是0-99，\0和$0代表完整的模式匹配文本。 捕获子组的序号计数方式为：代表捕获子组的左括号从左到右， 从1开始数。
使用 /e修饰符会将匹配完成后的字符串当做PHP代码并使用eval()方式运行。返回值作为最终的字符串。
转义后会进行反向引用替换。

像这种可以执行PHP代码的语句一般都具有可利用性。

MYSQL学习

LIKE子句的通配符
%：任意字符出现任意次。
_：单个字符。
因此要对这两个字符搜索也需要\转义。
LIKE子句的作用可以简单描述为：实现部分匹配的‘=’。

UNION会自动删除重复的值，最终只保留一个。
如果需要全部保留，需要使用UNION ALL子句。

Mysql排序
mysql排序的子句是ORDER BY 子句。两个顺序参数：ASC(升序排序)和DESC(降序排序)
可以使用WHERE……LIKE子句。
如：

结果：

字符？正则？

打开之后看到一串PHP代码。

简单分析之后，发现是需要提供一个可以满足这个正则表达式的字符串。
根据正则，写一个。

得到flag。

各种绕过

打开之后依然是一串代码。

分析之后发现，只需要GET传递一个uname并且POST传递一个值不相同但是sha1()编码之后比较结果相同的passwd即可。
则根据之前的题目，将uname和passwd都设置为不同的数组即可。(sha1函数对两个数组执行之后结果都是false)

故利用火狐的Hackerbar：


得到flag。

细心

打开之后直接是个报错页面，却又不像是正常的404页面。

既然什么东西都没有，那就先扫描一下。

发现有一个robots.txt。是限制访问的文件目录。
打开。

发现有resusl.php。

界面如上。
在这里注意到了下面有一行代码。陷入思考。
想到会不会是password=admin？？
感觉很别扭。
但还是试了一下。

居然成功得到了flag。

urldecode二次编码绕过

代码如上。
分析之后注意到需要将GET方法传过去的id设为hackerDJ的urlencode编码值。
但是在实际操作时发现浏览器(包括burpsuit)都会讲urlencode编码部分自动解码。
思考之后，想到既然浏览器完成了一次编码，那我只需要再进行一层编码就可以使浏览器传过去的id是urlencode编码。
于是：

得到flag。