@初九:

大佬好，想请教下，最近搞一个go程序的代码审计，存在用ioutil.writefile进行写文件的任意文件上次漏洞，但上传的目录被删了，导致在linux下无法上传文件，./upload/../../1.txt这样也不行，但windows下可以，貌似是因为linux api下会校验upload目录是否存在，请问下有方法绕过去吗

@路人甲:

p牛您好，抱歉占用您的时间和资源，我是一名Java安全初学者，想向您请教一点Java绕waf的一点问题，前段时间有个geoserver的漏洞是jxpath的命令注入，那个漏洞的payload采用的是exec(java.lang.Runtime.getruntime(),'whoami')这样的方式进行注入，如果有waf直接对exec()或者对括号进行限制，是否就可以有效防止对命令注入的利用呢，我目前在网上只看到相关的jxpath的利用，没有找到相关绕过思路

@路人甲:

你好，能推荐几款当前最好用的php代码审计工具吗，seay代码审计工具有的php源码好像审不了

@祢豆子酱:

请教一下各位大手子laravel phar反序列化遇到问题 原本的想法 1.先写入phar文件 2.在用phar：//协议触发反序列化 phar原文件写入不了可能是二进制的字符干扰所导致的？该如何解决 在线等……

@路人甲:

如果一个springboot项目使用了thymeleaf模板引擎，然后并没有导入jsp解析的依赖包，那么是不是就算能够任意上传文件也无法getshell了嘞。

@〒_〒:

请教一下p牛，最近一段时间我都有进行代码审计，然后看代码里面有些路由有传入参数进去，而且参数是直接拼接到了sql语句上面的，但是我进行尝试发现怎么样都复现不了，跑sqlmap也不能成功复现，我就以为这个地方漏洞不存在或者是有什么我不知道的过滤，然后后面去官网看到了过往的漏洞，里面有一个sql注入洞，路由我是之前有看见过，以为没有漏洞的地方，但是他的访问路径跟我的访问路径不一样。 所以我这边想请教一下该如何审计Java代码里面的拦截器。我有看过拦截器部分的代码，发现根本就看不懂。

@乾。:

str.replace("(","＞") str.replace(")","＜") ]和[也一样被替换了 ScriptEngineManager manager = new ScriptEngineManager(null); ScriptEngine engine = manager.getEngineByName("js"); engine.eval(str); s = new package.xx.xx.x.jndi,s.jndiPath ='',s.connection 通过这样的方式不使用（），调用jndi加载恶意类 还有其他的一个思路吗

@一休:

请教一下phith0n师傅，php使用copy函数进行远程文件复制shell到本地，文件名类似shell.php:jpg，windows上发现文件创建成功，为20240411xxxxx.php，但是文件内容为空，这是为什么？

@路人甲:

P神好，CrowdStrike最近因为AI+网络安全市值大涨，它搞的XDR（Extended Detection and Response）能力也很强，甚至一些未知攻击也能抵御。您怎么看这类产品？终端Sensor+云端AI Analyzer的模式给现有的入侵检测技术带来的思路上的改变有哪些方面？相应的bypass技术除了摸黑猜测以外，有没有别的好思路或者您觉得还处于检测盲区的技术路线？

@basic差的痛:

p神你好，我这几天刚开始做PHP的代码审计我虽然能够看懂代码大致上做了啥但是还是搞不懂代码的功能到底是干什么的，我想问一个问题就是如何去找准一个函数在那些地方使用然后根据函数使用的地方定位到使用这个函数的url参数，这个我是真找不到因为代码太多了搜到的也是一堆乱七八糟的东西要么就是php文件里有html和php混写在一起要么就是类文件（呜呜呜我是不是该花点时间学学Web开发）