文章总结： 文档介绍了一种基于Javachar类型解析差异的攻击技术，该技术利用Javachar的16位特性与部分代码只取低8位的漏洞，导致WAF无法识别攻击载荷而后端却执行。这种攻击在HVV2026攻防演练中可能成为红队新变量，建议蓝队加强后端输入验证。 综合评分： 75 文章分类： WEB安全,红队,渗透测试,漏洞分析

hvv 2026 – 今年攻防演练的新变量：WAF 看不见，后端却执行了

搞安全的面具侠 搞安全的面具侠

搞安全的面具侠

2026年7月15日 09:20 北京

在小说阅读器读本章

去阅读

最近忙着HW没时间很久没写东西了，既然迎来了考验，把最近看到的一篇文章给各位分享一下：

转载！侵权请联系删除！

hvv 2026 –  今年攻防演练的新变量：WAF 看不见，后端却执行了

今年 Black Hat Asia 上有份材料，《Cast Attack: A New Threat Posed by Ghost Bits in Java》。没刷屏，没上热搜，群里转发量也不大。

但我看完之后在笔记里写了一行：这东西会成为今年攻防演练里红队工具箱里的常客。

不是某个单点 RCE。没有”一键打穿全网”那种新闻标题。它是一种藏在 Java 生态底层的解析差异攻击面：同一个输入，WAF 看到的是乱码，后端执行出来的是攻击语义。

先说原理，再聊怎么打。

原理：Java 的 char 是 16 位，但很多代码只认低 8 位

Java 的 char 类型是 16 位无符号整数，码点范围 0x0000 到 0xFFFF。但很多 Java 代码在把字符转成字节的时候，做了强转或位运算，只取低 8 位。高位直接被丢弃。

常见的危险写法：

全文请点击链接观看

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：搞安全的面具侠 搞安全的面具侠 搞安全的面具侠《hvv 2026 – 今年攻防演练的新变量：WAF 看不见，后端却执行了》