capability-primitive-search

能力原语 + 状态空间搜索

心法: RCE不是一个"漏洞",是一组"能力"凑齐后的涌现。没单点大洞时,几个info级/低危照样拼出代码执行。
  固有思维(要打破): "扫不到RCE/反序列化/上传→这站打不动了"。你的活不是"找RCE漏洞",是"凑齐执行所需的原语"。
  把每个Fact抽象成能力原语(不记"发现X漏洞",记"现在拥有什么能力+限制"):
    read(path) write(path) exec(cmd) ssrf(url) sqli redirect(url) eval_expr idor(id) cred(svc,priv) coerce_auth write_acl

RCE只需满足任意一条等式,拆成可获取的原语去凑:
  A. 能写文件 + 文件被当代码执行                = RCE
  B. 能控配置/env + 配置指向你的代码            = RCE
  C. 能进管理面 + 面板自带执行功能              = RCE(不是漏洞,是功能!)
  D. 有凭据 + 服务有合法执行入口                = RCE(滥用合法功能)
  E. 能任意读 + 读到凭据 + 凭据可登录执行点      = RCE
  F. 能控数据 + 数据流入危险sink(eval/模板/SQL) = RCE