某个解析逻辑引起的代码注入RCE

某个解析逻辑引起的代码注入RCE

1、起因是参数中输入[ 后报错然后返回包中回显eval标签的报错，[]闭合后反而不报错，如果后端使用的是 eval或类似的动态函数，它可能不仅仅在解析 JSON，可能还在执行一段JavaScript。

2、网站是java写的，但是闭合后无回显，会正常返回数据，基于上述情况，尝试传入java延时语句，成功执行，故存在代码注入漏洞。

[(function(){java.lang.Thread.sleep(5000);return+"1";})()] 

漏洞的成因可能是后端会读取传入数值，但是没做限制，后端预期收到的是 {"key": "value"}，但当它收到 [code]时，它会先执行括号内的代码，再处理结果。或者是解析这个参数的函数会将传入的值动态脚本解析。

可能是个通用的问题？当它没有沙箱，用户可控参数存在动态脚本解析可能都会存在此问题，希望能给大家测试的时候带来一些启发。