我想利用这个preg_replace调用:
$str = preg_replace($pattern, '__', $str);
我可以控制$ str和$ pattern变量,但我不确定这是否足以注入任意PHP代码.有些想法？:)
preg_replace仅在使用e修饰符时才可利用.这意味着该$replacement字符串被评估为PHP代码.由于您无法为$replacement远程用户更改,因此它不容易受到攻击.
| 归档时间： |
|
| 查看次数： |
1294 次 |
| 最近记录： |