hvv 2026 - 今年攻防演练的新变量：WAF 看不见，后端却执行了

搞安全的面具侠
搞安全的面具侠

搞安全的面具侠

2026年7月15日 09:20
北京

在小说阅读器读本章

去阅读

最近忙着HW没时间很久没写东西了，既然迎来了考验，把最近看到的一篇文章给各位分享一下：

转载！侵权请联系删除！

hvv 2026 -  今年攻防演练的新变量：WAF 看不见，后端却执行了

今年 Black Hat Asia 上有份材料，《Cast Attack: A New Threat Posed by Ghost Bits in Java》。没刷屏，没上热搜，群里转发量也不大。

但我看完之后在笔记里写了一行：这东西会成为今年攻防演练里红队工具箱里的常客。

不是某个单点 RCE。没有\"一键打穿全网\"那种新闻标题。它是一种藏在 Java 生态底层的解析差异攻击面：同一个输入，WAF 看到的是乱码，后端执行出来的是攻击语义。

先说原理，再聊怎么打。

原理：Java 的 char 是 16 位，但很多代码只认低 8 位

Java 的 char 类型是 16 位无符号整数，码点范围 0x0000 到 0xFFFF。但很多 Java 代码在把字符转成字节的时候，做了强转或位运算，只取低 8 位。高位直接被丢弃。

常见的危险写法：

全文请点击链接观看