ezJS

[图片缺失] 原始路径：file:///tmp/lu173706h6mcg.tmp/lu173706h6mem_tmp_19d3550d.png

1,打开靶场，点击登录，就有admin账户，手测密码admin123

[图片缺失] 原始路径：file:///tmp/lu173706h6mcg.tmp/lu173706h6mem_tmp_66066d9e.png

2.将now改成7*7得到49，存在java ssti漏洞

[图片缺失] 原始路径：file:///tmp/lu173706h6mcg.tmp/lu173706h6mem_tmp_93e691e5.png

3.经过测试，new会被替换成Wow，T(会替换成NoNo(，flag会替换成xxxx，先查看根目录文件，返回后台

根据HTMl编码将(变成&#40

输入payload：

现在时间:

[图片缺失] 原始路径：file:///tmp/lu173706h6mcg.tmp/lu173706h6mem_tmp_f0f36e95.png

可以看到flag文件名为flag_y0u_d0nt_kn0w

4.由于flag被过滤了，这里使用字符拼接绕过过滤

输入payload

现在时间:

得到flag

[图片缺失] 原始路径：file:///tmp/lu173706h6mcg.tmp/lu173706h6mem_tmp_5b0ba811.png