关于 小程序逆向 的几个疑问,求大佬指点

最近在测试时遇到 小程序逆向 的场景,踩了不少坑。

环境: Java + Tomcat

已尝试:

• 常规 payload 被拦
• 改了大小写、加注释

有几个点想请教:

1. 有没有比较新的绕过姿势?
2. 如何判断是否成功触发?

求各位师傅指点方向 🙏

学习了,mark 一下,回头自己复现一遍。

这个思路可以,但要注意目标如果开了 RASP 可能拦,建议先探测一下。

楼主可以试试用 DNSLog 验证是否有回显,比直接打要安全。

实测可行,补充一点:payload 里把空格换成 $IFS 能绕过部分 WAF。

好文,期待楼主出个系列,这种实战 case 多来点。

同问,我也遇到了类似问题,等大佬解答。