注入-shell

paicha

搜索下面的代码
RunTime
ProcessBuilder
os.system
commands.getstatusoutput

如果cmd是写死在代码里，那没事了
如果有用户输入拼接，最好把shell环境关闭，然后校验输入(白名单校验)，不能有linux的特殊字符