FileFlows漏洞——通过反编译.NET代码发现SQL注入

摘要

通过反编译 .NET 代码发现 FileFlows SQL 注入：ILSpy 还原了未开源的 LibraryFileService，搜索接口存在字符串拼接注入，简单的单引号替换在部分支持的数据库中仍可被反斜杠绕过。