poc
花了一天半写出来的，不会java渣代码见谅

数据查询数量可控
想必如下这类接口大家都见多了吧：

/api/getInfo?page=1&page_size=10 ...
/api/viewData?startTime=&endTime=1591258015173 ...
...
而这类接口通常都是调用数据的，当一个系统数据量十分大（这也是拒绝服务的前提）的时候就需要分页功能去优化性能，那我们尝试将这个可控的数据查询量的参数数值进行修改会怎么样？比如page_size=10000，再去请求会发现服务器明显有返回延迟（大量数据的查询展示）

那如果是page_size=100000000000呢？想象一下，从查询到数据格式的处理返回展示，要占用巨大的服务器资源，我们如果尝试去多次重放此类请求，服务器终究还是无法承受这样的“力量”，最后导致宕机…

时间参数startTime也是如此，我们可以置空或设为0让其查询数据的时间范围为最大…以此类推、举一反三。

可以看到，zookeeper通过心跳包维持同一个tcp连接，socat可以清楚的看到每个包的from to序号，如果想通过gopher攻击，就需要把最开始那个from 0 to 48的类似握手包的东西放在前面

堆的unlink利用

我们知道link有链的意思，那unlink同理有解链的意思，unlink实际上就是在free堆块时把双向链表中的空闲堆块取出与和它地址相连已经释放的堆块进行合并，虽然malloc也会解链但没有使用unlink宏。以small bin为例（fast bin因为是单链表不会发生unlink，small bin和large bin是双链表可以发生unlink），当small bin中有一个已经释放的堆块时，假如现在要free一个和small bin中已经释放的堆块地址相连的堆块，不管要free的堆块在释放的堆块前面还是后面，都会触发堆块合并，而small bin因为是双链表以fd和bk连接堆块会触发unlink。

以wiki上的这张图为例先对unlink有个大致了解：最初small bin中的堆块应该像上图最上面那样连接，p是我们刚才free的堆块，此时p->fd=FD，FD->bk=p，p->bk=BK，BK->=fd=p，等unlink完后到了上图最下面，FD->bk=BK，BK->fd=FD，如果学过数据结构应该能够知道，这时的p已经被解了下来，在unlink合并堆块这个过程中，如果p与FD地址相连，则合并后的p应该在FD的data中，然后BK和FD直接相连，这就是free触发的unlink。

这足以确认我们获得了命令执行权；我们及时通知 security (at) packagist.org 并且没有试图提升权限。