这个preg_replace是否可以利用？

Question

我正在寻求利用这个preg_replace调用：

$str = preg_replace($pattern, '__', $str); 

我可以控制$ str和$ pattern变量，但我不确定这是否足以注入 任意PHP代码。有些想法？ ：）

Answer 1

preg_replace仅在使用e修饰符时才可利用。这意味着$replacement字符串被评估为PHP代码。由于您无法让远程用户更改$replacement，因此不容易受到攻击。