akdelt的博客

可以看到我们最终目的是构造 $userinfo[‘img’] = d0g3_f1ag.php 的 base64 值。可以看到 user 字段的 php 被过滤了，虽然长度为 3，但是已经空掉了，所以 php 解析器会往后读 ";因为字符串是再变少，所以我们要构造的字符串要过滤后 php 解析器会把后面的字符串包含进来。但是这样的话我们最终只能拿到 guest_img.png 的值了，这肯定不是我们想要的。因为 extract($_POST) 在 $_SESSION[‘img’] 赋值的上面。

下载题目附件，有很多 php 文件。打开其中一个能发现有很多类似后门的代码，有 assert，eval，system。但是很多都用不了，应该是要爆破搜索能用的后门了。