javascript - 如何在 url 中注入(inject)带空格的命令？

Question

我尝试了以下但得到 “1 封新电子邮件”

http://url:portNo/search?name=%3Bmail&&ls%7C&field2=1084&matnr=2391068

表示已经执行了mail，但是没有ls。

页面提交是通过 java 脚本提交表单，该表单将字符串替换//g 为 ""

我尝试更换这条线，甚至删除它，但产生了相同的结果。

我如何注入(inject)像“echo p | mail”这样的命令

注意:使用 "无效。

Answer 1

要在 url 中使用空格，您需要使用替代的 %20 序列对它们进行转义。有一个遗留替代方案，包括使用 + 符号代替空格....但我认为现在强烈建议不要这样做。