<?phperror_reporting(0);include "key.php";$a = $_GET['a'];eval("\$o = strtolower(\"$a\");");echo $o;highlight_file("index.php");?>

PHPeval("\$o = strtolower(\"$a\");");

$a 是用户通过 GET 参数传入的值程序把 $a 塞进了字符串里，变成 $o = strtolower("$a")最后用 eval() 执行这段拼接后的字符串关键问题：用户输入直接进了 eval()，没有任何过滤！

?a=A");system("cat key.php 

 代码注入（Code Injection）

 eval()

用户输入未经过滤进入 eval

极高，可执行任意系统命令

永远不要把用户输入放进 eval()、system()、exec() 这些危险函数里，除非经过严格验证。