Spring Framework 的参数绑定机制允许通过 class.module.classLoader 路径访问 JDK 9+ 新增的 Module 对象，绕过原有黑名单，篡改 Tomcat 的 AccessLogValve 日志配置，将访问日志写入 Web 目录并命名为 .jsp 文件，生成持久化 Webshell。CVSS 9.8，影响 Spring Framework < 5.3.18 / < 5.2.20 且运行于 JDK 9+ 与 Tomcat 的场景。本文基于 Vulhub 靶场复现并拆解利用链。

Spring Cloud Gateway 的 Actuator 端点未授权暴露时，攻击者可通过 POST 请求动态添加路由，在过滤器参数中嵌入恶意 SpEL 表达式，网关刷新配置时解析执行该表达式，实现未授权远程代码执行。CVSS 10.0，影响 Spring Cloud Gateway 3.1.x < 3.1.1、3.0.x < 3.0.7。本文基于 Vulhub 靶场复现并拆解利用链。

Log4j2 对日志消息中的 ${} 语法解析过于宽松，支持 JNDI 协议表达式且不限制远程类加载，攻击者通过任何会被记录的输入（URL 参数、请求头等）传入 ${jndi:ldap://...}，即可诱导服务器从远程加载恶意 Java 类执行。CVSS 10.0，影响 Log4j2 2.0-beta9 至 2.14.1，即社区所称 Log4Shell。本文基于 Vulhub 靶场复现并拆解利用链。

CVE-2020-14882 利用二次 URL 编码的路径遍历绕过管理控制台权限检查，实现未授权访问；CVE-2020-14883 在控制台的处理句柄参数中注入 OGNL 表达式触发代码执行。两者组合即可从未授权直达任意命令执行。CVSS 9.8 / 7.2，影响 WebLogic 10.3.6 至 14.1.1 全部版本线。本文基于 Vulhub 靶场复现三种利用方式。

Tomcat 默认开启的 AJP 协议连接器未对请求属性做来源校验，攻击者可通过 AJP 端口构造包含属性，读取 Web 应用目录下的任意文件，配合文件上传可实现远程代码执行。CVSS 9.8，影响 Tomcat 6.x、7.x < 7.0.100、8.x < 8.5.51、9.x < 9.0.31。本文基于 Vulhub 靶场复现文件读取并分析 AJP 协议缺陷。

Struts2 标签库的 id 属性会对属性值进行二次 OGNL 解析，当属性值引用了攻击者可控的输入时，攻击者可构造恶意 OGNL 表达式绕过沙箱执行任意代码。CVSS 9.8，影响 Struts2 2.0.0-2.5.20。本文基于 Vulhub 靶场复现并拆解沙箱绕过与命令执行的利用链。

VulnHub 靶机 HackInOS 的通关记录：arp-scan 定位靶机后，经 wpscan 与 dirsearch 发现 WordPress 5.0.3 与可疑的 upload.php 上传接口，伪造 GIF 文件头绕过 getimagesize 检查上传一句话木马，爆破 MD5 随机文件名触发反弹 Shell；从容器内 MySQL 的非标准表 host_ssh_cred 获取宿主机 SSH 凭据，最终利用 docker 组成员身份挂载宿主机根目录完成 Docker 逃逸获取 root。

VulnHub 靶机 Super-Mario-Host 的通关记录：从 arp-scan 内网探测定位靶机，经 nmap 端口扫描与 dirb 目录扫描发现 VirtualHost 配置文件，绑定域名后找到 command.php 用户枚举接口，用 cewl 生成的自定义字典爆破出 luigi 的 SSH 密码，受限 Shell 中经 awk 逃逸，最后利用 Linux 3.13.0 内核的 OverlayFS 提权漏洞（EDB-37292）拿到 root 与 flag。