https://t1mmoc.github.io/tags/%E5%91%BD%E4%BB%A4%E6%B3%A8%E5%85%A5/ Recent content in 命令注入 on Timmoc 的技术小屋 Hugo zh-cn Fri, 16 Oct 2026 20:19:57 +0800 https://t1mmoc.github.io/posts/2026-10-16-filename-command-injection/ Fri, 16 Oct 2026 20:19:57 +0800 https://t1mmoc.github.io/posts/2026-10-16-filename-command-injection/ 归档里一个 1 KB 的文件夹，唯一非零字节的是一个 474 字节的 zip，而它里面 3 个条目也全是 0 字节——这个载荷的信息完全写在名字里：&shutdown -s -t 360&。讲清楚它为什么能成立（cmd.exe 把 & 当命令分隔符）、为什么探针要选一条 360 秒可逆的命令，以及实测五种拼接写法哪种挡得住：双引号挡得住、单引号挡不住、argv 只是恰好等效于加引号、只有不进 shell 才真免疫。附一节我自己第一版把结论测成假绿的复盘——探针和载荷共用了同一串字符。