@〒_〒:

请教一下p牛，最近一段时间我都有进行代码审计，然后看代码里面有些路由有传入参数进去，而且参数是直接拼接到了sql语句上面的，但是我进行尝试发现怎么样都复现不了，跑sqlmap也不能成功复现，我就以为这个地方漏洞不存在或者是有什么我不知道的过滤，然后后面去官网看到了过往的漏洞，里面有一个sql注入洞，路由我是之前有看见过，以为没有漏洞的地方，但是他的访问路径跟我的访问路径不一样。 所以我这边想请教一下该如何审计Java代码里面的拦截器。我有看过拦截器部分的代码，发现根本就看不懂。

@乾。:

str.replace("(","＞") str.replace(")","＜") ]和[也一样被替换了 ScriptEngineManager manager = new ScriptEngineManager(null); ScriptEngine engine = manager.getEngineByName("js"); engine.eval(str); s = new package.xx.xx.x.jndi,s.jndiPath ='',s.connection 通过这样的方式不使用（），调用jndi加载恶意类 还有其他的一个思路吗

@一休:

请教一下phith0n师傅，php使用copy函数进行远程文件复制shell到本地，文件名类似shell.php:jpg，windows上发现文件创建成功，为20240411xxxxx.php，但是文件内容为空，这是为什么？

附件

图片

图片

附件

附件