Java 幽灵比特攻击手册

要解决的问题

在 Java 后端前面挂 WAF 或 IDS 是常见组合，但这套防线存在盲区：当后端代码把 16 位的 char 窄化成 8 位的 byte 时，高 8 位会被静默丢弃。攻击者可把 ASCII 攻击字节替换为对应的 Unicode 同形字符——WAF 看到的是无害 Unicode 字符，后端窄化后却自行还原出原始 ASCII 字节。

本技能就是利用这一原语的绕过技巧，它本身不是独立的漏洞类别，而是让其它攻击载荷重新生效的放大器。

核心能力与工作流程

触发条件：(1) Java 后端，(2) 前置 WAF/IDS，(3) 攻击面涉及 SQLi、反序列化 RCE、文件上传、路径穿越、CRLF、请求走私、SMTP 注入之一。三条同时满足时，在宣布载荷被拦截之前，先尝试 Ghost Bits 变体。

工作方式：

• 将攻击载荷中的 ASCII 字节逐个替换为等价的 Ghost 字符；
• 后端执行 char→byte 窄化时自动丢弃高位，还原出原始攻击字节；
• 与具体攻击族 playbook 搭配使用，例如序列化漏洞的 Commons BCEL、Fastjson \u 转义，路径穿越的 URL 解码，Tomcat RFC2231 文件名上传，Apache HttpClient CRLF 等。

进阶参考 PAYLOAD_COOKBOOK.md 提供 0x20–0x7E 全部可打印 ASCII 与关键控制字节（0x00、0x09、0x0A、0x0D）的查表、各组件受影响版本矩阵与补丁标识，以及 Yaklang / Python 载荷生成器。

适用边界

• 仅适用于 Java：窄化行为由 JVM 语义决定，其它语言不具备同一原语；
• 前提是后端代码确实执行了 char 到 byte 的窄化，否则载荷无法还原；
• 基座模型几乎不会主动想到这一原语，需要按条件显式触发；
• 它只是绕过原语，实际利用仍依赖对应的攻击族 playbook 与具体组件漏洞。