xerces

0x00 前言 在对大佬们高版本的POC进行分析后，我把重点放在了如何绕过黑名单限制上，那么利用XML可以解析的其它编码格式尝试一下绕过。 0x01 补丁回顾 首先回顾一下这个经典的补丁截图，摘自： http://www.sd.edu.cn...

  JAVA的XML解析，底层用的是xerces，而xml本身的特性及xerces的一些特性，可以用来造成WAF与后台代码的解析不一致。 文章是在看完代码后的三个月写的，所以并没有尝试把所有绕过手法的代码逻辑点列出。  ...