无字母绕过PHP代码执行：取反异或自增构造payload全解析-北京尧图网络

1. 先看题目到底拦住了什么1.1 一个“字母全禁”的靶场长什么样我第一次打开这个靶场的时候页面干净得有点过分一个输入框一个提交按钮旁边挂着一行提示——“哦豁你不能输入字母了”。我一开始以为是平台在皮随手敲了个phpinfo()进去结果直接被拦回来提示“包含字母已过滤”。再试11正常回显2试a被拦试_居然能过。这时候我才意识到这道题不是让我正常写代码而是逼我在不出现任何字母的前提下把一条完整的payload给拼出来。这类“绕过字母”的靶场题在CTF里很经典核心考的就是对输入过滤的理解深度。目标环境基本是PHP少见一点的有Python、Node但大多数情况下你面对的是一段类似preg_match(/[a-zA-Z]/, $input)的黑名单校验。匹配规则很简单字符串里只要出现大小写字母就直接断开。难点在于过滤掉字母之后你还能不能组织出一段能够被PHP正常解析、正常执行、并最终读到flag的代码。如果你平时只写业务代码第一次碰到这种题大概率是懵的因为你的思维里“代码字母数字符号”现在字母没了就好像写文章不让你用元音字母一样。好靶场的价值就在这种地方它把所有花里胡哨的外壳剥掉逼你用最原始的语言机制来解决问题。你不需要背几百个exp只要理解PHP底层如何表示字符、如何做运算、如何动态调用函数这道题就能顺下来。反过来说如果你连这道题都啃不动后面那些更复杂的“无数字Webshell”“无参数RCE”基本也没戏因为它们的底层逻辑是同一套。1.2 过滤规则和输出点的判断思路拿到靶场先别急着写payload第一步永远是搞清楚过滤规则到底有多宽。这个“宽”字很关键因为不同的过滤强度决定了你后续选用哪条构造路径。我习惯先把常见字符分几组往里丢看返回结果。我按下面这个顺序测试输入内容预期用途通过情况123数字是否放行通过~!#$%^*()特殊符号是否放行大部分通过%27单引号是否放行URL编码形式看环境双引号是否放行通常放行abc检查小写字母被拦ABC检查大写字母被拦测完字符后还要测输出点。有些题目会把你的输入直接拼进某段代码里再eval这种叫“代码执行型”靶场有些题目会把你的输入当作参数值传给某个函数这种叫“参数注入型”靶场。判断方式很简单你输入一个phpinfo之类的东西如果页面直接报语法错误说明代码被拼进去执行了如果页面原样输出说明只是作为值处理。这道题属于前者。还有一个很容易忽略的点过滤词是什么时候生效的。如果过滤发生在PHP解析之后那URL编码进去的字节就有机会被还原成字母从而绕过检测如果过滤发生在最外层比如WAF层那PHP还没收到输入就把你拦了情况又不一样。多数靶场为了方便考察PHP语法技巧过滤都写在PHP内部所以你只要能构造出一段“不含字母字面量但运行时能产生字母”的代码就能绕过检测。这个阶段的结论很重要它会直接影响后面的构造方案你不能写字母但你可以用数字、符号、甚至不可打印的原始字节。而PHP的字符串操作恰好给了你一堆把非字母变成字母的手段。2. 为什么字母能被“变”出来PHP字符串底层逻辑2.1 字符的本质是字节很多人在这一步卡住是因为被“字母”这个概念锁死了。在PHP里字符串从来不是一个抽象的文字集合它就是一个字节序列。每个英文字母对应一个ASCII码比如小写a对应0x61大写A对应0x41字母s对应0x73。过滤函数做的事情就是扫描这个字节序列如果发现某个字节的值落在字母对应的区间内就判定为非法。但字节的取值范围是0到255字母ASCII只占了其中很小一段。也就是说有大量字节在过滤器的“盲区”里。比如0x8C这个字节它不是一个可见字符过滤规则里只写了“字母”它自然能大摇大摆地通过。问题在于如果你想让它最终以字母形态参与代码执行就得靠PHP的运算把它“翻译”回来。这有点像仓库管理货架上的每个格子都有编号字母只是贴在货架上的标签。管理员只检查标签上是不是写了字母你换一个没有标签的箱子进场在里面拆箱、重组、重新打标签最后出来的还是一模一样的字母货。所以“绕过字母”的技术原理说白了就是用什么方式在不写字母的情况下让PHP运行时得到一个字符串这个字符串的内容恰好是字母。2.2 位运算中的三把钥匙取反、异或、自增PHP提供了三种非常实用的“无中生有”手段它们分别是取反、异或、自增。理解这三者的原理是解开无字母题目的钥匙。第一把钥匙是取反运算符~。它把每个字节的每一位都翻转0变11变0。比如字节0x8C二进制是10001100取反后变成01110011也就是0x73对应字母s。关键规律是一个字节取反总能得到另一个字节如果这个结果落在ASCII可打印范围内它就变成可见字符。只要你能预先算出目标字母的“取反前字节”并把这个非字母字节作为原始数据传进去PHP在执行到~运算时就会还原出字母。第二把钥匙是异或运算符^。它的规则是两个比特相同则为0不同则为1。两个可打印字符做异或结果恰好可能是另一个字母。比如字符!的ASCII是0x21字符的ASCII是0x400x21 ^ 0x40 0x61正好是字母a。这个方法的好处是参与运算的两个字符都可以是符号或数字不一定要用非打印字节因此更不容易被外层过滤拦截。代价是需要凑出每一对组合编写payload的时候最繁琐。第三把钥匙是自增运算。PHP有个历史悠久的奇怪特性字符串a做自增会变成bb再自增变成c一路可以推到z。这意味着只要你能拿到一个初始字母剩下的字母都可以像数数一样一个一个数出来。那问题就变成了如何在不写字母的情况下拿到第一个字母这就要用到PHP里另一个经典骚操作——把数组强制转成字符串你会得到Array这个单词里面有字母A、r、a、y。拿到一个字母种子后整个字母表都向你敞开了。三种钥匙适用于不同场景取反法最简洁但依赖裸字节能通过异或法最灵活适合在严格过滤下把字母一个字符一个字符地拼出来自增法最“暴力”适合在允许PHP代码结构完整的情况下直接数出整个函数名。2.3 从“不能有字母”到“我有任意字母”的思维转变很多新手看完原理还是会觉得抽象我换个角度说。你现在面对的不是“我不能写字母”而是“我不能在代码里直接出现字母的字面量”。区别在哪前者听起来像绝境后者只是增加了一个间接层。你最终的目标其实很明确让PHP执行一段命令比如system(cat /flag)。这串东西可以拆成两个部分一个是函数名system一个是命令参数cat /flag。函数名本质上是一个字符串命令参数本质上也是一个字符串。只要你能在运行时得到这两个字符串再用PHP的动态调用机制把它们组合起来任务就完成了。所以这道题真正深挖的是PHP允许你用变量保存函数名然后通过$func()这种形式动态调用函数PHP允许你用各种运算构造字符串PHP允许你把非字母字节、符号、甚至数组转换成需要的字符。把这些特性组合起来你虽然不能直接写字母却拥有了生成任意字母字符串的能力。思维转换过来后你再看那行“哦豁你不能输入字母了”它不是在说“你完了”而是在说“来展示一下你对PHP的理解有多深”。3. 三种经典绕过姿势的完整构造3.1 姿势一取反法字节级“反着写”取反法的思路最直白把你想要的字母按位取反得到一个非字母字节把这个非字母字节作为输入传进去PHP执行~运算后自动还原成字母。拿目标字符串system来看。s的ASCII是0x73取反后得到0x8Cy是0x79取反后得到0x86s还是0x8Ct是0x74取反后得到0x8Be是0x65取反后得到0x9Am是0x6D取反后得到0x92。这串字节在URL传输中可以用百分号编码表达为%8C%86%8C%8B%9A%92整串里面只有数字和百分号没有字母可以顺利通过过滤。命令参数cat /flag也同理。c取反是%9Ca取反是%9Et取反是%8B空格取反是%DF/取反是%D0f取反是%99l取反是%93a取反是%9Eg取反是%98组合起来就是%9C%9E%8B%DF%D0%99%93%9E%98。完整payload可以写成下面这种形式请求时把URL编码后的字节原样带进去?code~%8C%86%8C%8B%9A%92(~%9C%9E%8B%DF%D0%99%93%9E%98)这段代码在PHP里执行的效果等价于system(cat /flag);你可能会有疑问URL编码后的字节在被PHP接收时会发生什么答案是GET请求的参数在进入PHP之前就已经完成了URL解码所以%8C会还原成原始字节0x8CPHP解析器看到的是一段由非ASCII字节组成的表达式。在PHP 7环境中~可以直接作用于这样一段字节序列结果就是按位取反后的ASCII字符串。自己手算太容易出错我一般直接用Python写个小脚本生成取反序列def neg(s): return .join(%{:02X}.format(~ord(c) 0xff) for c in s) print(neg(system)) print(neg(cat /flag))这段代码的原理是ord(c)拿到字符的ASCII值~ord(c) 0xff取反后保留一个字节的范围再格式化成两位大写十六进制。跑一遍就能拿到准确的payload不需要自己翻ASCII表。取反法的好处是payload短一眼看去就是几个符号加百分号编码干净利落。但它有个前提条件目标环境对原始字节的传递没有做二次过滤。如果外层WAF或者防护脚本把非ASCII字节直接拦掉、替换掉这条路就堵死了这时候你就得换异或法或者自增法。3.2 姿势二异或法凑出函数名异或法的表现力比取反法更强因为参与运算的两个字符本身都是可打印字符通常在过滤规则里是安全放行的。它的思路是找到两个字符它们的ASCII码异或之后等于目标字母的ASCII码。最简单的例子就是前面说过的!^!是0x21是0x40异或得到0x61也就是a。如果你想构造system就要为每个字母找一对“可见字符组合”最后用点号拼接起来形成一个完整的表达式。这里我给一个通用的Python脚本它能在可打印符号和数字的范围内自动搜索任意字母的异或组合symbols !\#$%()*,-./:;?[\\]^_{|}~0123456789 def find_pair(target): for a in symbols: for b in symbols: if ord(a) ^ ord(b) target: return a, b return None target system expr ..join( f{a}^{b} for c in target for a, b in [find_pair(ord(c))] ) print(expr)执行后会得到一串类似下面这样的表达式!^.#^S...等等这里有个大坑如果搜索结果里出现了大写字母S这种字符那这个组合就不能用因为过滤规则会把它拦下来。所以实际构造时要额外做一层约束只允许使用数字和符号参与运算禁止使用任何字母字符。把刚才的脚本再加一个条件只从符号和数字池里挑选就能生成一份完全不含字母的安全payload。异或法构造出来的表达式虽然没有取反法那么短但它完全不依赖原始字节传递哪怕过滤做得再变态只要还允许可打印符号进入它就有机会工作。遇到那种连%、原始字节、引号都过滤的极端靶场异或法往往是最后的救命稻草。我个人的习惯是先试取反法因为最快取反法不行就上异或法如果异或法的括号、点号、引号也被过滤了一部分再考虑自增法或者组合拳。3.3 姿势三自增法用“a”一路推到“z”自增法玩的是PHP字符串自增的怪癖行为。在PHP里字符串a执行会变成bb执行会变成c只要你在字母递增路径上它就会一直往上走走到z之后还会变成aa。这个特性在别的语言里几乎遇不到偏偏PHP有所以它成了无字母题里非常经典的一条路。但问题是我们拿不到初始字母a因为直接写a会被过滤。于是我常用的套路是先拿到字符串Array再从这个字符串里取字符。具体操作是这样$_[]; $_$_; // 数组转字符串得到 Array抑制警告 $A$_[0]; // 取第一个字符 A第一行创建空数组第二行把数组当作字符串输出PHP会把它转换成字符串Array。第三行用下标[0]取出第一个字母A。有了A之后就可以使用自增特性逐个得到其他字母$A; // B $A; // C // 一直自增到需要的字母每次自增得到一个新字母把它存到另一个变量里最后拼接起来就是函数名。因为PHP的函数名不区分大小写所以自增出来的大写字母SYSTEM也能直接当作system来调用。完整思路可以这样组织拿到Array后直接用现有字母拼出能用的词再对不足的字母做自增补齐。比如$_现在是Array$_[0]是A$_[2]是r$_[3]是r$_[4]是a$_[5]是y。你可能会说这个组合太受限了但其实只要配合自增所有字母都能数出来。自增法最让人头疼的是写起来啰嗦一个SYSTEM要写好几行自增操作。但它的优势也很明显整个过程完全由数字、方括号、分号、变量符号组成全程不带一个字母字面量。在一些禁止非ASCII字节、禁止双引号、禁止复杂符号的极端环境里自增法反而成了最稳妥的选择。3.4 动态函数调用串起整条命令字符串构造出来之后还有一个关键环节怎么把它变成一次真实的函数调用。PHP提供了动态调用机制你可以把一个字符串变量当作函数名来调用$func system; $func(cat /flag);在无字母场景下也一样不管你用取反、异或还是自增只要某个变量里最终存放的字符串值是system后面紧跟一对括号就能触发函数执行。比如取反法的payload里~%8C%86%8C%8B%9A%92这个表达式运行后得到的字符串就是system紧接着又用括号把第二个字符串表达式的内容当作参数传进去于是整个表达式就等价于一次system(cat /flag)调用。理解这层逻辑之后你会发现无字母题的套路其实很固定先用某种手段构造函数名字符串再用某种手段构造命令参数字符串最后用动态调用把它们连接起来。难点不在连接而在构造。所以你在看各种Writeup时不要被眼花缭乱的payload吓到抓住“怎么算出system”和“怎么算出cat /flag”这两个问题就够了。同时要注意不同PHP版本对一些函数的行为有差异。比如assert在PHP 7.2以后从函数变成了语言结构不再支持像$func()这样的动态调用方式。因此构造payload时尽量选择system、exec、passthru这类稳定的执行函数或者直接考虑用include去做文件包含但文件包含的路径构造又是另一套思路了。4. 靶场实操中的踩坑与排查4.1 PHP版本与运行环境的坑我第一次在本地复现这道题的时候payload照抄别人的Writeup结果页面直接报syntax error把我整懵了。后来排查才发现是PHP版本差异。取反法里那种“URL解码后的裸字节直接跟在运算符后面”的写法在PHP 5.x和PHP 7.x某些小版本下解析行为不一样有的会直接当成非法字符处理。所以建议你本地搭靶场环境时先确认目标版本再写payload。最简单的方法是在靶场页面里故意输入一个会触发报错的表达式从报错信息里能看到PHP版本号。本地复现时我一般用Docker直接起一个PHP环境快速验证payloaddocker run -d -p 8080:80 php:7.4-apache把测试代码放到容器里再在浏览器里提交payload这样迭代速度很快。遇到语法层面的报错优先怀疑不是运算逻辑错了而是PHP解析阶段就把输入拒了。另一个常见的坑是函数被禁用。有的靶场为了增加难度会在php.ini里配置disable_functions把system、exec、passthru这些高危函数全部禁掉。这种情况下你明明把system构造出来了调用却没有任何反应。排查方法很简单先执行一个不会依赖外部命令的PHP函数比如phpinfo看它能不能正常弹出信息。如果连这个都没反应那就不是payload的问题是环境真的封了函数。4.2 全过滤下的引号与括号处理有些变种题会把过滤规则弄得更狠不仅禁字母连双引号、单引号、括号都可能被拦截。这时候你就得想别的办法“表达”一个字符串值。如果你还能用数字和方括号可以试试PHP的数组技巧。比如用$_GET[0]来取URL参数的值URL参数本身可以包含任意内容包括字母和特殊符号但输入时的过滤规则很可能只拦了主参数没有深挖到$_GET数组里的每个键值。不过要小心$_GET这串字符本身含字母你得先解决变量名的构造问题这就闭环了。如果你连分号、点号这些基本符号都被过滤那就要反思是否真的需要构造一整条语句。有些题目表面上是无字母实际上允许你传多组参数每一组参数分别代表一个独立变量。这时候可以化整为零把函数名、命令参数分别放在不同的输入点里最后再触发执行。这种思路在真实渗透中也很常见核心原则是过滤规则只能拦“静态文本”拦不住“运行时拼接出来的内容”。括号被过滤是比较棘手的情况。不过PHP里有不少函数支持“回调风格”的调用比如array_map第一个参数是回调函数名第二个参数是参数数组。如果你能构造出array_map和system这两个字符串那么可以通过array_map(system, array(id));这种形式绕过直接括号的限制。代价是需要的字符串数量更多payload更长但对过滤规则更宽容。4.3 命令执行后没有回显怎么处理还有一种让人抓狂的情况命令执行了但页面完全没有回显。造成这种状况的原因通常有两个一是system函数被注释掉了输出二是命令本身执行失败。先确认命令本身有没有问题。可以在本地先手动执行一下cat /flag看路径对不对。很多靶场的flag文件路径不是/flag可能在/tmp/flag.txt、/flag.txt、甚至是环境变量里。我习惯构造一个ls /的payload先探目录再把路径调整好。如果确认命令没问题但页面没输出可能是命令执行的时候PHP已经禁用了输出缓冲或者输出内容被过滤规则二次清洗掉了。这时候走盲打路线让命令的结果不要直接输出到页面而是通过某种方式把结果带出来。最简单的做法是把命令结果重定向到/tmp/out文件再用一个能读文件的函数把它读出来。不过这一步又要构造file_get_contents这样的长字符串复杂度瞬间上升。所以在靶场里我有个习惯先做信息收集再写最终payload。信息收集阶段多花几分钟后面能省下大把时间。拿到靶场先判断操作系统、PHP版本、flag文件位置把这些基础信息摸清楚再去纠结用取反还是异或、要不要考虑盲打思路会清晰很多。5. 从攻防视角看这类题的价值5.1 真实业务中这类过滤常出现在哪里有人觉得这类题就是CTF里炫技用的现实中没人会把输入校验写得这么“变态”。但实话实说我在实际代码审计里见过太多类似的黑名单过滤。最常见的场景是开发者知道某个参数存在命令注入或代码执行风险于是写了正则把危险字符过滤掉很自然地就把字母表列进黑名单以为这样就能一劳永逸。更典型的场景是WAF规则。很多开源WAF的规则集里都有“检测常见危险函数名”的规则比如看到system、eval、assert就拦截。这类规则能拦住只会直接写函数名的脚本小子但拦不住构造过的payload因为过滤规则匹配的是静态字符而你的payload在运行时才产生真正的函数名。这就是无字母题的现实价值它让你亲身体会黑名单思路的局限性。你以为挡住了“字母”但PHP的运算能力让它变成了“给字母穿件马甲”你以为挡住了system这个字符串但取反、异或、自增都能在运行时把它重新拼出来。如果防御方的理解只停留在“拦掉危险字符”这一层那攻击方永远有绕过的空间。5.2 防御方怎么让“无字母”真正失效聊防御之前必须说清楚防御的重点不是“怎么把字母拦得更干净”而是“怎么让代码执行这条路本身走不通”。无字母payload再花哨它最终也要靠PHP的动态函数调用去触发。如果你在代码层面就禁止用户可控内容进入高危险函数那前面所有构造都是白费。具体可以从这几个角度下手第一能不用动态调用就不用动态调用。很多框架代码里写了call_user_func($callback, ...)这种模式初衷是让代码更灵活但一旦$callback是用户可控的就等于把函数执行权交了出去。正确做法是对回调函数做白名单校验只允许预设的几个函数名通过。第二严格限制命令执行函数。在PHP环境里把system、exec、passthru、shell_exec、popen、proc_open这些函数全部加入disable_functions同时把eval这种代码执行结构也禁用掉。这是最直接有效的缓解手段。第三输入校验从白名单思维出发而不是黑名单。如果参数值必须是数字就优雅地转换成int如果必须是短字符串就限制长度并校验字符集如果必须是一个固定的选项就用枚举匹配。白名单逻辑在“放行”上做文章天然比黑名单在“拦截”上做文章更可靠。作为CTF选手理解防御端怎么想能帮你更快地找到突破点作为开发者或运维理解攻击端怎么构造能帮你避免写出漏洞代码。这道题刚好能把两边的视角都串起来。5.3 给新手的进阶训练建议如果你刚开始接触这类题目我建议不要直接背payload而是按下面这个顺序练一遍先本地搭一个最简单的PHP环境写一个只有一行过滤逻辑的页面把过滤规则设置成“字母全部禁止”然后自己手动构造一次取反payload确认能拿到命令执行结果。这一步能让你直观感受到取反、URL解码、PHP解析这三者是如何衔接的。接下来练异或法。写一个Python脚本让它自动为system、cat /flag这些目标字符串生成异或组合跑通自动化和手工验证的结合流程。实际做题时手工算ASCII码效率太低工具化的能力很有用。最后练自增法。把数组转字符串、取字母、自增、拼接、动态调用这几个环节拆开理解。如果有余力再把“无数字Webshell”的题型也看看它的核心思路从数字角度出发和字母角度是镜像对称的。把无字母和无数字两种题型都吃透你对PHP语言特性的理解会比看十篇教程都扎实。练习的时候一定要做好记录。哪种payload在哪个PHP版本下失效、哪种过滤规则会连带拦住哪些符号、哪种命令在无回显情况下怎么外带结果——这些经验比任何现成脚本都值钱。靶场的意义从来不是让你通关那一刻爽一下而是让你踩过的每一个坑都变成下一次不再踩坑的判断力。说到底无字母题玩的不是玄学是PHP字节运算、字符串特性、动态调用机制这些基础知识的组合应用。理解了这些你看到那行“哦豁你不能输入字母了”时就不会觉得它是在嘲讽你而是会觉得它在跟你隔空喊话来别写字母把flag拿出来看看。

无字母绕过PHP代码执行：取反异或自增构造payload全解析

相关推荐

子网划分与汇总实操指南：从VLSM到CIDR的完整计算与避坑要点

urwtest：U盘与SSD全盘写入验证与稳定性压力测试工具

从半加器到补码器：手把手搭建四位加法器与Verilog实现

更多资讯

办公楼网络方案落地：拓扑、IRF2堆叠、无线覆盖与设备选型

汽车租赁系统数据库设计：区间排他约束与金额拆分实战

DynamoDB 原生向量搜索：企业知识库 AI 选型的新架构路径

KRAS G12V突变结合检测试剂盒：原理、实验流程与药物筛选应用

pstack-claude实战指南：从安装配置到工作流提效的完整避坑手册

双目立体视觉三维重建实战：从标定到点云的工程避坑指南

今日更新

PHP htmlentities()函数用法讲解

AI Agent工程实战：从七要素到七个决策点的系统设计指南

AI入局芯片设计验证：验证收敛50倍加速的真相与应对

本周精选

CMOS设计三大物理效应：体效应、沟道长度调制与亚阈值导电

微信小程序在线阅读毕设全解析：Java后端+MySQL+避坑实战

Android音频问题五层分析法：从App到Codec的系统化诊断

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？