一.进入实验环境显示一段php代码

　　1.show_source() 函数对文件进行语法高亮显示。

　　2.strstr() 函数搜索字符串在另一字符串中是否存在，如果是，返回该字符串及剩余部分，否则返回 FALSE。

　　该函数是区分大小写的。如需进行不区分大小写的搜索，请使用 stristr() 函数。

　　strstr(string,search,before_search) ，该函数有三个参数：

参数	描述
string	必需。规定被搜索的字符串。
search	必需。规定要搜索的字符串。如果该参数是数字，则搜索匹配该数字对应的 ASCII 值的字符。
before_search	可选。一个默认值为 "false" 的布尔值。如果设置为 "true"，它将返回 search 参数第一次出现之前的字符串部分。

　　3.str_replace() 函数以其他字符替换字符串中的一些字符（区分大小写）。

　　该函数必须遵循下列规则：

如果搜索的字符串是数组，那么它将返回数组。
如果搜索的字符串是数组，那么它将对数组中的每个元素进行查找和替换。
如果同时需要对数组进行查找和替换，并且需要执行替换的元素少于查找到的元素的数量，那么多余元素将用空字符串进行替换
如果查找的是数组，而替换的是字符串，那么替代字符串将对所有查找到的值起作用。

　　注释：该函数区分大小写。请使用 str_ireplace() 函数执行不区分大小写的搜索。

　　语法： str_replace(find,replace,string,count)

　　4. php:// — 访问各个输入/输出流（I/O streams），说明：PHP 提供了一些杂项输入/输出（IO）流，

　　允许访问 PHP 的输入输出流、标准输入输出和错误描述符，内存中、磁盘备份的临时文件流

　　以及可以操作其他读取写入文件资源的过滤器。

　　　　*php://input可以读取没有处理过的POST数据。相较于$HTTP_RAW_POST_DATA而言，它给内存带来的压力较小，

　　　　并且不需要特殊的php.ini设置。php://input不能用于enctype=multipart/form-data。

　　　　*Content- Type取值为application/x-www-form-urlencoded时，php会将http请求body相应数据会填入到数组$_POST，

　　　　填入到$_POST数组中的数据是进行urldecode()解析的结果。

　　　　*php://input读取不到$_GET数据。是因为$_GET数据作为query_path写在http请求头部(header)的PATH字段，

　　　　而不是写在http请求的body部分。

　　　　*只有 Content-Type 为 multipart/form-data 的时候，PHP 不会将 http 请求数据包中的相应数据填入 php: //input，

　　　　否则其它情况都会

二.实验步骤

　　1.通过代码审计可知，这道题应该和文件包含有关，输入的参数page中会被过滤掉 php://，但是两个函数都是区分大小写的，

　　因此我们可以采用 Php:// 来进绕过，有前面的可知 php://input 只能读取到post请求的数据，那么通过Burp抓包，以post

　　方式提交<?php system('ls') ?>，显示的结果如下：

　　得知flag文件后，通过cat命令查看，构造 <?php system('cat fl4gisisish3r3.php'); ?> ,获得flag。

　　这里还有其他协议：

　　file:// — 访问本地文件系统
　　http:// — 访问 HTTP(s) 网址 　　ftp:// — 访问 FTP(s) URLs 　　php:// — 访问各个输入/输出流（I/O streams） 　　data:// — 数据（RFC 2397） 　　glob:// — 查找匹配的文件路径模式 　　phar:// — PHP 归档 　　ssh2:// — Secure Shell 2 　　rar:// — RAR 　　ogg:// — 音频流 　　expect:// — 处理交互式的流