freemarker html 引入script_FreeMarker模板注入

最新推荐文章于 2024-08-25 23:26:52 发布

lbs80111Liu

最新推荐文章于 2024-08-25 23:26:52 发布

阅读量815

点赞数

文章标签： freemarker html 引入script

本文链接：https://blog.csdn.net/weixin_34282558/article/details/113072919

版权

本文介绍了FreeMarker模板引擎的工作原理及其在Web开发中的应用。重点讨论了如何利用FreeMarker进行动态表达式和标签的利用，包括执行命令的方法。文章提到了通过TemplateModel的exec方法和官方提供的标签执行命令，并分析了2.3.17版本中为防止命令执行所添加的限制。同时，作者探讨了如何突破这些限制，如利用get_optional_template变量实现类似PHP文件包含的漏洞利用方式。

摘要由CSDN通过智能技术生成

一、简介

FreeMarker是一款模板引擎,通过Java类库引入,模板文件简称为FTL(后缀可能也为这个)。输出方式为MVC(模型,视图,控制器)模式,适用于Web开发框架生成html页面。所以此类库经常应用于MVC开发模式的Java Web程序。

二、利用与发掘

既然简介为模板引擎,那么就一定有可以动态利用的地方。FreeMarker动态处理变量为${}格式,当然还有标签格式,这个稍后讲解。看到这里,是不是很像el、spel引擎模板的解析风格,不过确实有相似部分,当然也有区别。接下来,通过代码分析利用方式或常见格式：

Configuration configuration = new Configuration();String templateContent = "${1+1}";Template tpl = new Template(null, templateContent, configuration);StringWriter writer = new StringWriter();tpl.process(null, writer);System.out.println(writer