进行代码审计时遇到一个比较典型命令执行漏洞，适合新手学习，给大家分享下整个过程。
从代码中可以看出来程序只使用trim()方法对jdk进行了两遍的空格过滤，然后直接和后面拼接的命令一起执行。
接着来找一下这个方法的调用链：
可以看到这里依次调用了3个命令执行的方法，如果命令都能成功执行的话，可以执行3次。
然后找一下这个jdk参数是否是我们可控的：
上面的代码显示jdk这个参数是从请求中获取的，看到这里已经能确定是个命令执行漏洞了，下面我们来利用这个漏洞。
执行了ls&&结果报错，看显示结果发现过滤了&&，然后把&转编码发现还是会报错，但是从服务端代码来看并没有做参数的过滤。
