CVE-2022-46169 的rce 漏洞复现

EVAL长度限制突破技巧

问题：

打开网站发现就这么一个页面

题目给了源码

因为靶场我们不好反弹shell

DOM破坏基础

基础概念

XSS (Cross-Site Scripting) 是一种常见的 Web 安全漏洞，攻击者通过在网页中注入恶意脚本，使得其他用户在访问该页面时执行这些脚本。

进入微信，搜索盲盒小程序发现有很多的小程序

报错注入概念

数据库在执行SQL语句时，通常会先对SQL进行检测,如果SQL语句存在问题,就会返回错误信息。通过这种机制，我们可以构造恶意的SQL，触发数据库报错，而在报错信息中就存在着我们想要的信息。但通过这种方式，首先要保证SQL结构的正确性。

XSS主要原因： 过于信任客户端提交的数据！