代码的功能还是很清晰的，最开始创建时span的属性值为6，而后通过js中的over_trigger()函数将其动态更新为666，当然，更新后的值可以是任意的，只要能保证溢出就可以了。另外，width的属性值和写入堆空间的内容有关，这个后面会再提。
将PoC保存为html文件并双击打开，会弹出阻止提示，此时用WinDbg附加IE进程，附加列表中会有两个IE进程，选择后一个，即当前选项卡对应的子进程。这里假设你的符号文件都已经配置好了，我们通过“.reload /f”命令强制加载，“lm”命令可以查看加载的结果。首先我们设置好如下几个断点：
对于那些记不住的函数，我们可以通过“x”命令来查看一下，错误位置在CTableLayout::CalculateMinMax函数中，所以这个地方肯定要下个断点，又因为是堆溢出，所以_HeapRealloc函数也来个断点，最后的CTableCol::GetAAspan函数是用来获取span属性值的，1和2两个断点目前暂时禁用。“g”命令跑起来，在IE中允许阻止的内容，弹出警告直接确定，回到WinDbg可以看到程序第一次在CTableLayout::CalculateMinMax函数入口断下来了，这是处理最开始创建时span值为6的情况，查看调用栈：
我们看下CTableLayout::CalculateMinMax函数的声明：

void __thiscall CTableLayout::CalculateMinMax(CTableLayout *theTableLayoutObj, LPVOID lpUnknownStackBuffer);

上述是IDA给出的结果，我们主要关注CTableLayout*这个变量，它是一个指针，由上面的“kb”命令可知其值为0019fd70：
程序申请了堆空间用于保存column的样式信息，每个样式信息占0x1C字节，有多少个样式信息由span属性值来确定，因此这里申请的堆空间大小为0x1C*6=0xA8，即_HeapRealloc函数入口断下后ecx寄存器的值，函数调用时的入参如果用到寄存器的话一般都是ecx，返回参数一般保存在eax中，同时注意随后分配的初始地址会保存到esi寄存器对应的地址处，即前面的黄色标识处，可以看到此时的值由NULL变为0x0019eb90了。

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

从PoC中可以看到此时对应的width属性值为41，0x0019eb90处写入的内容就为width值41*100=0x00001004，事实上程序断下来的时候0x1C个字节的样式信息都已写入完成。我们再单步往下跟一下：
可以看到出现了inc＋cmp组合，可以猜想这应该就是控制堆空间写入样式信息的循环了，这几条汇编指令的意思就是ebp-14h对应的值每次加1，即每次循环后递增，ebp-24h对应的值每次加0x1C，即每次加一个样式信息的字节数，最后当前的循环次数和ebp+10h对应的值比较，即span属性值。为了验证这个猜想我们多跟几次这个过程，可以发现事实确是如此。
好的，我们来看下通过js脚本动态更新span属性值后，也就是span值变为666时程序第二次在CTableLayout::CalculateMinMax函数入口断下后是个什么情形，理论上是要重新分配堆空间的，毕竟要多写入660个样式信息，而后再获取此时的span值作为循环控制次数，最后才向堆空间写入样式信息。我们来到程序此时断下来的地方，顺便看下之前确实是写入了6个样式信息：
但我们却发现程序跳过了分配堆空间的过程，错误的认为之前分配的空间已经足够而转去直接获取控制循环次数的span属性值eax，即0x29a＝666。
接下来和前面一样是写入样式信息的过程，不过这次是对只能容纳6个样式信息的堆空间写入了666个样式信息，从而引发了堆溢出错误：
可以看到ebp+10h对应此时的span属性值0x29a，所以程序最终将会执行666次循环。堆溢出发生后程序继续运行会造成内存访问违规

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

通用request网络请求仅支持采用https，处理请求的接口位于com.tencent.mm.plugin.appbrand.g.c中，包含url校验、域名校验、发起请求和处理响应结果。
Https校验采用类似浏览器的策略，通过系统原生的URL.openConnection()方式请求，证书校验的策略为校验公钥证书的根证书是否在合法CA列表凭证中。因此自签名证书无法使用；针对特定终端设备，即是校验公钥证书的根证书是否在受信任的凭据中，在设备被恶意安装代理根证书的前提下，存在被中间人攻击的风险。

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

mobile/guestbook.php 中将$_SERVER['HTTP_USER_AGENT']删掉了。分析一下，这里是手机端的留言板，destoon将用户的User-Agent放入了留言内容变量$post[content]中。
而据我对destoon的了解，其全局对GPC做了转义和WAF，但User-Agent没有进行过滤，所以这里有可能存在一个SQL注入漏洞。
所以往后看看吧，其调用了guestbook类的add方法，将$post变量传入：
这里调用了$this->set($post)进行处理，跟进：
content 有如下过程：strip_tags -> htmlspecialchars -> trim
title 有如下过程：in_array($post['type'], $TYPE) ? '['.$post['type'].']' : '' -> substr($post['content'], 30) -> addslashes -> trim
先看content，因为destoon中的htmlspecialchars是设置了ENT_QUOTES参数的，所以单引号也被转义了，我们无法直接逃逸出单引号，但因为\没有转义，所以我们可以利用content来消灭掉一个单引号。
紧跟其后的title，又是从content中截取了三十个字符（令$post['type']为空），所以我们大概可以构造出这样一个content: ,user(),0,0,0,0,0,0,2);...\
最后执行的SQL语句如下：

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

HTML5标准中加入了对于autocomplete属性的支持，以协调浏览器对于表单域的识别。最初autocomplete属性仅支持on与off两种取值，默认情况下是会启动自动填充功能以方便浏览器会将用户提交过的表单值记录下来以便复用。后续HTML标准中允许加入更多的标识值，这些标识值会更加精确地告诉浏览器应将哪些记录值对应到哪些表单。譬如我们经常需要在网页上填写地址信息，如果我们希望浏览器能够记录下常用地址信息并且自动补全，那么可以使用如下声明方式：
其他常见的自动填充的使用场景还包括电话号码、邮箱地址、即时通信账户等，完整的自动填充标识声明规范为：

[section-](optional) [shipping|billing](optional) [home|work|mobile|fax|pager](optional) [autofill field name]

其中[home|work|mobile|fax|pager]仅被用于电话、邮箱等场景。而完整的应用场景譬如是填写收货地址的收件人电话时：

<label for="foo">Mobile phone for delivery</label>
<input type="text" name="foo" id="foo" autocomplete="section-red shipping mobile tel">

最后，我们来看下自动填充在笔者电脑上的现实效果：

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

这里的第一个containsAll方法是触发不了的那个函数的，所以我们只要满足对象o是JSONArray就行了，但是事实上是不行了，因为这个对象o不是Set的子类，所以这条路到这基本上就走不通了，所以我们还得继续找。
继续回到c.containsAll这个地方我们再找那些函数最终调用了containsAll，这里我们发现org.apache.commons.collections.collection.AbstractCollectionDecorator.containsAll(Collection)这个抽象类调用了，来看改函数的定义

protected Collection collection;
....
 public boolean containsAll(Collection coll) {
     return collection.containsAll(coll);
 }

这里最终会调用collection.containsAll方法，如果这里我们将collection赋值为JSONArray对象的话不照样触发漏洞么，由于AbstractCollectionDecorator这个类是抽象的，无法实例化，所以我们得找一个它的子类，注意这里我们必须得满足子类是实现了Set接口并且是可以序列化的，所以找到最后我们找到了org.apache.commons.collections.set.ListOrderedSet这个类。这里只需要满足父类的collection是JSONArray就行了。
到这里我们知道了只需要让equals方法中的对象o赋值成org.apache.commons.collections.set.ListOrderedSet的实例就行了。
接下来我们要去找关于equals的调用关系了，直接使用eclipse我们可以找到org.apache.commons.collections.map.Flat3Map.put(Object, Object)这个类
这个类在反序列化的时候恰好就触发了这个put函数，最终触发我们精心构造的对象。
这个Flat3Map有个特点就是当map的元素小于等于3的时候会用类成员变量来存储数据，而且这里还必须得调用equals方法。
一个是ListOrderedSet一个是concurrentSkipListSet对象，但是这里我们需要满足这两个对象的key值的hashcode必须相同。
这里的hashcode要么全为0这样是最好的，也就是key为空字符串就行了，但是我们要构造的Payload里面必须要有JSONArray对象，这个对象默认的hashcode是29，不管怎么弄都不可能相等，不过这里我们可以用hashcode碰撞来解决hashcode值相同问题。

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

该段代码使用jndi的方式去访问LDAP服务，这里我们可以控制Context.PROVIDER_URL的参数，从而控制jndi访问的LDAP服务器的地址。
getSchema(rdn)方法最终会调用com.sun.jndi.ldap.LdapBindingEnumeration.createItem(String, Attributes, Vector)方法（调用关系太多，自己去调试）
在该方法中最终会调用Obj.decodeObject(attrs)方法，从而实现对象的反序列化。这里稍微提下，com.sun.jndi.ldap.Obj对象中定义了几种对象序列化与反序列化的方法，有直接反序列化的，也有直接通过远程加载的，这里的的反序列化稍微与其它地方的反序列化不同的点在于我们不能远程加载对象，因为com.sun.jndi.ldap.VersionHelper12.trustURLCodebase的默认值为false，所以直接决定了类加载器只能加载当前classpath下面的类，关于如何去构造对象使得LDAP在反序列化能执行任意代码，请看下文。
到这里我们知道了com.sun.jndi.ldap.LdapAttribute中相关的方法能触发反序列化的漏洞，那么现在我们要做的就是去找到一个类在反序列化的时候能调用我们相应触发漏洞的函数，也就是在反序列化时能调用getAttributeSyntaxDefinition方法或者getAttributeDefinition方法的类，通过老外的PPT以及公开的gadgets，我们稍微分析下就会发现在net.sf.json这个类库中存在可以调用类任意getXXX函数的地方，那么com.sun.jndi.ldap.LdapAttribute这个类中的getXXX方法是不是也可以通过这种方式来调用，首先我们先确定究竟是那个类中的那个方法能调用getXXX函数，通过gadgets中的json Payload我们发现最终能调用对象的getXXX函数
圈起来的两个地方就是能调用getXXX函数的地方，这里会先遍历javabean的所有属性，最后在挨个的调用。
弄明白了能函数调用的根源，下一步就是去找这个函数究竟会怎样触发。通过eclipse我们可以很容易发现如下调用方式。
我们可以看见defaultBeanProcessing方法最终会被ConcurrentSkipListSet类中的equals方法调用，到这里很多人可能会问了，那么多调用关系，你为什么就找这个类的equals方法，这里可能会有一些经验在里面，因为对于和equals方法相关的东西太多了，对于java中的某些数据结构，例如Set,每次添加元素的时候都会判断当前key是否存在，还有就是比较两个对象是否相等的时候会去调用hashcode和equals方法，这里如果了解过其它反序列化的同学对此可能会稍有感触，例如jdk的那个反序列化的触发过程。如果这种经验没有的话，那么你只能一个一个的去找了。
最终我们找到了一个类可以的某个方法可以调用我们的函数了，但是你可能会发现在eclipse中这样的函数调用关系大多是多态情况下的方法调用，所以我们还需要对equals方法中的方法调用进行分析，这里我们需要注意的是defaultBeanProcessing这个函数的直接调用对象是net.sf.json.JSONArray.fromObject(Object, JsonConfig)方法，我们来看下equals方法

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

从get请求中获取了orderfield赋值给$orderfield并且只使用trim()函数进行了处理，这里明显是有问题的。
继续往下跟进发现传进了fetch_by_get函数的第3个参数：
继续跟进fetch_by_get函数，文件路径在：/Users/striker/www/discuz3/upload/source/plugin/jameson_read/table/table_jamesonread_books.php第120行：
发现将$orderfield直接传入了Discuz自带的DB::fetch_all函数中执行，我们继续跟进fetch_all函数：
这个函数将sql语句又传入到self::query函数：
这个函数又调用了self::format()进行格式化语句：
这个函数首先判断了%出现的次数，如果没有出现则扔出错误。
然后写两个一个while循环来拼接sql语句，查找百分号后面的字母，我们这里的$orderfield传入时是%i所以我们只关注这个分支：
如果百分号后面是i的话，就直接拼接带入进去，没有进行其他的处理。
最终format函数返回了拼接后的sql语句。

渗透爬虫软件 资源采集 劫持域名 提取抓料子 六合·色站·彩票·博彩·金融 接渗透拿站，各大网站数据-拖库-提权联系 域名劫持 DNS 入侵网站 联系：@hacker_HouZiM