搜狗某APP远程命令执行/可内网（已修复，仅做攻击示例）
使用app抓包，查找相关接口数据，并对所有接口进行接口测试，各种漏洞测试（发现漏洞的过程是及其枯燥无味的）
http://account.mama.yx.sogou.com:80/account/User/register.do
检测发现此APP存在struts2命令执行漏洞
查看当前权限
查IP（已入内网）
执行命令，列出目录
其他命令也可直接执行。当然获取相关资料也是很简单。
产生原因：
用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下就执行命令，可能会允许攻击者通过改变 $PATH 或程序执行环境的其他方面来执行一个恶意构造的代码。
由于开发人员编写源码，没有针对代码中可执行的特殊函数入口做过滤，导致客户端可以提交恶意构造语句提交，并交由服务器端执行。命令注入攻击中WEB服务器没有过滤类似system(),eval()，exec()等函数是该漏洞攻击成功的最主要原因。
这只是一种攻击思路，也是一种漏洞类型，做资源监测链接的时候可以监测是否包含此漏洞。
