用户不需要具有shell权限。例如，小米的网关有一个api，******，用户（或攻击者）可以构造请求，若输入任意内容然后加一个分号，分号后的内容会作为shell命令执行。这个漏洞还没修复，就先不说细节了。
【 在 ygs 的大作中提到: 】
: 你这是至少有shell权限了
:
:
--
FROM 111.201.154.*