背景说明
果然每年一到“特殊”时期，微步就热闹起来了，而且每天的段子比Payloads还多。这不，就有公众号号传 Nginx 的任意文件读取 0day，还附上了演示视频，搞的一时间各个群里里立马‘沸腾’了。
眼见为实？
其实稍微动动脑子就能辨别它的真实性，如果Nginx真爆出此类的0day，要知道受影响的主机会是怎样的量级！！！ ，后果简直无法想象，而将这样的漏洞用在每年这一“特殊”时期，这人的脑子不是被驴踢了，就是脑子进水了。
手法揭秘
我们不如来思考一下此类‘漏洞’怎么伪造。其实伪造手法非常简单且容易，4步轻松完成：
- 随便网上找个任意文件读取或是RCE的漏洞
- 然后docker启动漏洞环境（我这里以Grafa的任意文件读取漏洞为例）
docker run -p 80:3000 grafana/grafana:8.2.6 - 修改本地hosts文件，比如127.0.0.1 google.com
- 随便找一个网上已公布的PoC代码，略微修改一下
- 运行脚本，看！我成功的读取了XX网站的passwd文件
演示视频：
我是不是也可以宣称，手捏某个任意文件读取的0day漏洞了？成功拿下XX目标网站！
结束语
凡事多思考，多想想，别头脑一热就各种转发，跟不明真相的群众打成一片，忙碌的工作中自然需要一些段子来放松，但不要让自己成为“傻子”。擦亮眼睛，辨别真伪！“Talk is cheap,Show me the code”（少逼逼，有种给我看代码！）
