WAF检测 | 绿盟科技技术博客

phpcms v9.6.1任意文件下载漏洞分析及EXP

之前PHPCMS V9.6.0被爆出来一波SQL注入个getshell的漏洞，官方修复了（典型的指哪修哪）并且发布了V9.6.1。但是并没有修复完全，又被搞出来一个任意文件下载的漏洞，此漏洞Payload同样可以绕过WAF检测。

2017年3月15日，fastjson官方发布安全公告表示fastjson在1.2.24及之前版本存在远程代码执行高危安全漏洞。攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。