ofcms踩坑记录

最新推荐文章于 2024-07-30 20:14:16 发布
最新推荐文章于 2024-07-30 20:14:16 发布
阅读量1.2k 收藏
点赞数
分类专栏： 资料 日常记录 错误记录 ofcms 文章标签： ofcms cms
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yinzitun7947/article/details/87871976
版权
这篇博客记录了在使用OFCMS框架时遇到的问题，包括模板文件、图片、SQL文件和控制器的路径，以及两个公告管理的混淆和内容列表排序的注意事项。作者指出系统公告与站点公告的表格对应错误，内容列表排序依据数据库的真实创建时间，而非自定义时间。
摘要由CSDN通过智能技术生成

ofcms项目地址:https://gitee.com/oufu/ofcms

使用ofcms框架时时不时就找不到文件的位置，总是记不住，在这里记录一下
模板文件:ofcms\ofcms-admin\src\main\java\com\ofsoft\cms\front\template
前台页面:ofcms\ofcms-admin\src\main\webapp\WEB-INF\page\default
图片:ofcms\ofcms-admin\src\main\webapp\upload
sql文件:ofcms\ofcms-admin\src\main\resources\conf\sql
控制器:ofcms\ofcms-admin\src\main\java\com\ofsoft\cms\admin\controller

踩坑:(版本v1.1.2 2018-11-16)
1、ofcms中有两个公告
系统公告:系统设置-->系统运营-->通知管理中进行管理，对应表格of_sys_announce
站点公告:运营管理-->站点公告中进行管理，对应表格of_cms_announce
git项目的首页中

 <p class="title">系统公告</p>
    <ul>
    <@of.announce_list site_id=site.site_id limit=5>
    <#list announce as data >
最低0.47元/天 解锁文章
微笑的花
关注
专栏目录
Java代码审计之ofcms
Java_ttcd的博客
08-12 362
还有一个freemarker模板注入漏洞，因为我自己也没整明白，也就没办法分析了。等以后审计能力够了会再写。还有一个问题，关于上传jsp文件为什么执行不了——是因为存在jfinal过滤器，所以没有办法传上去。运行后，输入自己的数据库信息。这里根据控制器，看每一个接口走下来，最终也是审出来了。...
ofcms内容管理系统 v1.1.4.zip
03-25
ofcms内容管理系统 v1.1.4.zip
OFCMS搭建
weixin_53323333的博客
05-05 1162
OFCMS搭建
[Java代码审计]—OFCMS
Sentiment的博客
03-04 763
项目导入idea，创建数据库，配置下tomcat就行，但要注意必须tomcat>8.5，mysql>5.7。
初识java代码审计——ofcms 1.1.4内容管理系统代码审计
Alexz__的博客
05-05 3518
目录 壹 ofcms环境搭建（避坑指南） 贰 从ofcms出发浅析javaweb项目目录结构及其功能 叁 CVE-2019-9614 SSTI模板注入漏洞 肆 任意文件上传漏洞 伍 存储型XSS漏洞 陆 后台SQL注入漏洞 壹 ofcms环境搭建（避坑指南） 四月底开始入手java代码审计，从一开始的一头雾水到现在博客总结，之间经历了许多，走过不少坑，虽然大四啥事儿都没有但是整个过程也还是压力比较大的 现在IDEA中以及没有java代码审计插件 Fi...
oufu-ofcms-1.1.zip
05-15
《基于Java技术的OFCMS 1.1：打造高效内容管理系统》 OFCMS 1.1是一款基于Java技术开发的开源内容管理系统，旨在为用户提供强大的网站制作与管理能力。其核心特性包括栏目模板自定义、内容模型自定义、多站点管理...
ofcms代码审计
最新发布
weixin_45653478的博客
07-30 923
最重要的是，找到模板注入请求的后端API注入的命令为：<#assign value="freemarker.template.utility.Execute"?new()>${value("calc.exe")}发现请求的路径如下：为/src/main/java/com/ofsoft/cms/admin/controller/cms/TemplateController.java后台->模板设置->模板文件->模板目录->修改index.html在 com.ofsoft.cms.admin.controll
Java代码审计之ofcms | 技术精选0140
m0_73257876的博客
08-12 311
还有一个freemarker模板注入漏洞，因为我自己也没整明白，也就没办法分析了。等以后审计能力够了会再写。还有一个问题，关于上传jsp文件为什么执行不了——是因为存在jfinal过滤器，所以没有办法传上去。运行后，输入自己的数据库信息。这里根据控制器，看每一个接口走下来，最终也是审出来了。...
Java代码审计（1）ofcms
混子
03-20 1366
文章目录前言环境搭建任意文件读取分析验证任意文件写入分析验证SQL注入分析验证任意文件上传分析验证总结 前言 环境搭建 github：https://github.com/yuzhaoyang001/ofcms 下载后，直接用IDEA打开ofcms项目，配置tomcat，选择第一个工件 运行后，输入自己的数据库信息后，等待配置完成后，最后输入你的管理员密码即可 配置完成后，停止运行，编辑 ofcms-master/ofcms-admin/src/main/resources/dev/conf/db-co
从OFCMS出发，浅析JavaWeb项目技术结构及其功能
Alexz__的博客
04-29 1713
ofcms简介，技术选型介绍 Tomcat运行原理浅析 Maven功能浅析 ofcms项目结构分析 壹 ofcms简介 ofcms是一款基于java开发的内容管理系统，也就是我们俗称的建站系统，国内建站系统大多由php开发而来，java开发的少之又少 本打算基于ofcms入手，开始java代码审计的学习流程，后发现自身知识盲区实在太多，于是便开始从底层一步步的开始学习 ofcms建于Tomcat 8.5+之上，使用Maven内容管理模块，数据库使用MySQL 5.7+，其项目结构大致如...
OFCMS发布版本v1.1.3
技术创造未来，程序改变生活。
02-25 1424
目前版本v1.1.3 2019-02-24 新增公告失败 用户删除失败 PC端发布的文章在手机端访问报错 增加公众号消息模版推送 增加文章评论功能 评论功能：
OFCMS 发布1.1.2 java cms ofcms
技术创造未来，程序改变生活。
11-16 961
OFCMS 项目介绍 java 版CMS系统、基于java技术研发的内容管理系统、功能：栏目模板自定义、内容模型自定义、多个站点管理、在线模板页面编辑等功能、代码完全开源、MIT授权协议。 技术选型：jfinal Record mysql freemarker redis spring 等 layui zTree bootstrap 。 特点：支持多站点、可以根据需求添加手机站、pc站。 ...
OFCMS代码审计
菜鸟学安全的博客
08-03 334
OFCMS代码审计保姆级教程，一遍通关。
从零开始-IDEA部署开源CMS：ofcms1.1.4 问题及解决汇总
Alexz__的博客
04-28 3324
壹 基本部署流程 最近在准备系统的审计java代码安全，于是上网找了一个基于java开发，后端技术栈涉及maven spring bean容器等等，故此来练手学习感觉十分有趣 我这里所用的IDEA版本为2021.1 最新版的： 直接从github把代码挖下来 项目源地址：https://gitee.com/oufu/ofcms.git 然后就clone到了本地 然后开始配置本地maven，我这里的本地maven版本为 apache-maven 3.61 注意这里的...
【网络安全】}ofCMS代码审计
HBohan的博客
11-19 711
来先看看主要的目录结构吧(粗略)。 核心代码去瞧瞧，我的思路一般都是看看能够登入的地方（下面是我直接找到的后台管理登入系统）。 全局搜索一下。 【技术资料】 这算漏洞吗？ 进入看了一下，但是没什么用，不能强行爆破。有限制账号登入次数。但是这里有个可以探测的，就是管理员的账号，账号的对错分别的得到提示不一样。算个小小的漏洞？ 路径遍历 既然这里是登入后台，那就进入这一片的代码瞧瞧。看先一些有趣的东西。 这些参数去具体位置看看。 去看看对应代码。然后在这里（com/ofsoft/cms/admin/
OFCMS 项目开源 java cms 系统 内容管理系统
技术创造未来，程序改变生活。
06-28 9568
技术选型：jfinal mybatis mysql  freemarker  redis spring 等 layui zTree bootstrap 。 特点：支持多站点、可以根据需求添加手机站、pc站。 模板采用：freemarker  标签会在官网发布。 项目地址：https://gitee.com/oufu/ofcms  QQ 群: ①185948055 前台展示：   ...
从ofcms的模板注入漏洞（CVE-2019-9614）浅析SSTI漏洞
Alexz__的博客
05-04 1755
什么是SSTI漏洞 CVE-2019-9614漏洞复现 ofcms的freemarker模板源码简要分析 壹 什么是SSTI漏洞 SSTI：Server Side Template Injection 服务器端模板注入漏洞 既然是注入漏洞，那么它所运用的核心思想就和XSSSQL注入差不多，都是运用不安全的用户输入，将正常的数据接收处进行恶意输入，导致服务器将用户输入数据当成代码并执行，从而完成一些危险的行为 我们针对SSTI来看，他的主要载体是web站点MVC架构之上，也就是从...
【Java代码审计】OFCMS 1.1.3 审计
YouthBelief的博客
02-17 2908
OFCMS 1.1.30x00 前言0x01 环境搭建1.1 cms下载地址1.2 idea部署项目1.3 服务启动成功1.4 程序自动安装（失败）1.5 尝试手动部署 （成功）1.5.1 创建库导入.sql文件1.5.2 修改数据库配置文件并改名1.5.3 重新启动项目1.5.4 访问后台0x02 漏洞挖掘2.1 sql注入2.1.1 漏洞位置2.1.2 定位代码2.1.3 分析传参处理2.2.4 payload2.2 SSTI模板注入2.2.1 漏洞位置2.2.2 定位代码2.2.3 分析传参处理2.2
OFCMS Freemarker模板命令注入漏洞深度分析
"这篇文档分析了Java代码审计中关于Freemarker模板命令注入的漏洞，主要涉及OFCMS 1.1.2版本中的安全问题。OFCMS是一款基于Java的CMS系统，允许用户自定义栏目模板、内容模型以及多站点管理等。文档指出在系统中，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值