当前位置： 首页 > news >正文

shamrockcms代码审计-啥也没有

news 2026/2/10 22:17:49

shamrockcms
环境搭建
使用阿里源，创建数据库，运行shamrockcms.sql文件，将configure.properties中的jdbc修改为自己本地或者其他ip数据库连接，并且将ueditor.config.json中的master修改为localhost或者其他自己设置的ip

危险组件
freemarker 2.3.20 可能存在模板注入
log4j 1.2.14 可能存在命令注入
mybatis 3.2.3 可能存在sql注入

log4j 1.2.14 需要SimpleSocketServer开启端口，全文搜索没搜到，暂无法利用

mybatis 3.2.3 该cms使用xml定义sql操作，由于mybatis是否有注入的区别在于#和$，这里直接在路径

src/main/java/com/shamrock/cms/dao/

查找是否有$()拼接写法，没找到，无法注入

freemark 模板注入需要有能够更改模板的地方，插入执行语句进行执行，后台，并未找到相关功能能够修改模板

upload功能
后台界面存在上传功能，方法定位到
saveImage
的saveImage方法，该方法重命名并且后缀为.jpg的形式,无法利用

逻辑漏洞-伊拉克版

修改密码位置修改adminId参数即可改变对应用户密码，

但是都是管理员，密码都可以互相修改，所以称为伊拉克版本

稀烂，啥也没审出来

相关文章：

shamrockcms代码审计-啥也没有

shamrockcms 环境搭建 使用阿里源，创建数据库，运行shamrockcms.sql文件，将configure.properties中的jdbc修改为自己本地或者其他ip数据库连接，并且将ueditor.config.json中的master修改为localhost或者其他自己设置的ip 危险组件…...

编程日记 2024/4/9 22:08:19

【C++】排序算法 --快速排序与归并排序

目录 颜色分类（数组分三块思想）快速排序归并排序 颜色分类（数组分三块思想） 给定⼀个包含红⾊、⽩⾊和蓝⾊、共 n 个元素的数组 nums ，原地对它们进⾏排序，使得相同颜⾊ 的元素相邻，并按照红⾊、…...

编程日记 2024/4/9 22:06:16

(Python)根据经纬度从数字高程模型（DEM）文件获取高度

基本介绍 在地理信息系统（GIS）和遥感中，数字高程模型（Digital Elevation Model，简称DEM）是一种表示 地表或地形高程信息的重要数据。DEM数据通常以栅格（raster）形式存在&#xff0…...

编程日记 2024/4/9 22:03:13

【WPF应用41】WPF中的Expander控件详解

Windows Presentation Foundation（WPF）中的Expander控件是一个用于显示详细信息的交互式UI元素。它允许用户通过点击标题来展开或折叠内容区域。Expander控件通常用于在界面上组织内容，提供一种可见/隐藏的功能，以帮助用户专注于当…...

编程日记 2024/4/9 22:01:11

golang变量初始化顺序

顺序： 1.引用的包 2.全局变量 3.init()函数 4.main()函数 package pkgimport "fmt"func init() {fmt.Println("pkg init") }package mainimport ("fmt"_ "gg/pkg" )var v val()func val() int {fmt.Println("func()…...

编程日记 2024/4/9 21:59:08

魔众 文库配置异步转换

同步转换 系统默认使用同步转换，即用户上传文档提交接口瞬间，系统会立即进行转换。 同步转换容易造成页面卡顿，转换时间超长的情况下，系统接口会超时。 异步转换 系统支持异步转换，即用户上传文档提交接口瞬间&…...

编程日记 2024/4/9 21:57:07

创建型模式--2.简单工厂模式【人造恶魔果实工厂1】

1. 工厂模式的特点 在海贼王中，作为原王下七武海之一的多弗朗明哥，可以说是新世界最大的流氓头子，拥有无上的权利和无尽的财富。他既是德雷斯罗萨国王又是地下世界的中介，控制着世界各地的诸多产业，人造恶魔果实工厂就…...

编程日记 2024/4/9 21:53:03

一些考研经验

前言 考研结束已有半个月，之前一直想写经验贴，奈何感觉自己本身就比较菜，考了两年才堪堪上岸，所以有些犹豫，拖拖沓沓到现在，思虑再三最终决定把自己对于考研的一些拙见记录一下，供各位参考。 …...

编程日记 2024/4/9 21:48:58

StockTrading AI小模型股票自动交易系统 转载

Stock-Trading StockTrading AI小模型股票自动交易系统 项目文档 Stock-Trading 语雀 项目展示 功能介绍 对接证券平台，实现股票自动化交易使用QuartZ定时任务调度，每日自动更新数据使用DL4J框架实现LSTM模型指导股票买入，采用T1短线交易策…...

编程日记 2024/4/9 21:45:55

01背包问题合集 蓝桥OJ

一、蓝桥OJ 1174小明的背包1 模板题 思路： 用二维数组dp判断最大价值，i表示物品数量，j表示物品体积，如果 j > V 则无需继续， j > w 物品还能再增加，同样价值也增加，否则继承之前的价值&am…...

编程日记 2024/4/9 21:44:53

Nuxt3 实战 (三)：使用 release-it 自动管理版本号和生成 CHANGELOG

release-it 能做什么？ 增加版本号并提交 Git生成变更日志（Changelog）并提交到 Git创建 Git 标签并推送到远程仓库发布到 npm 等软件仓库在 GitHub、GitLab 等平台创建发行版 前置知识 在看这篇文章之前，我们有必要了解一下 Sem…...

编程日记 2024/4/9 21:42:50

鸿蒙OS开发实战：【自动化测试框架】使用指南

概述 为支撑HarmonyOS操作系统的自动化测试活动开展，我们提供了支持JS/TS语言的单元及UI测试框架，支持开发者针对应用接口进行单元测试，并且可基于UI操作进行UI自动化脚本的编写。 本指南重点介绍自动化测试框架的主要功能，同时…...

编程日记 2024/4/9 21:41:49

算法（二分查找）

1.给你一个非负整数 x ，计算并返回 x 的 算术平方根 。 由于返回类型是整数，结果只保留 整数部分 ，小数部分将被 舍去 。 注意：不允许使用任何内置指数函数和算符，例如 pow(x, 0.5) 或者 x ** 0.5 。 示例 1&#xf…...

编程日记 2024/4/9 21:40:47

运筹学基础（六）列生成算法（Column generation）

文章目录 前言从Cutting stock problem说起常规建模Column generation reformulation 列生成法核心思想相关概念Master Problem (MP)Linear Master Problem (LMP)Restricted Linear Master Problem (RLMP)subproblem（核能预警，非常重要） 算法…...

编程日记 2024/4/9 21:38:45

[阅读笔记] 电除尘器类细分市场2023年报

0.原始链接： 2023年除尘行业评述及2024年发展展望-北极星大气网 中国环保产业协会 供稿 1.重要信息摘录 市场占有率最大的是电除尘和袋式除尘行业装备产品名录: 国家鼓励发展的重大环保技术装备目录（2023年版）权威评审机构：…...

编程日记 2024/4/9 21:35:42

Kubernetes学习笔记11

k8s集群核心概念：pod： 在K8s集群中是不能直接运行容器的，K8s的最小调度单元是Pod，我们要使用Pod来运行应用程序。 学习目标： 了解pod概念： 了解查看pod方法 了解创建pod方法 了解pod访问方法 了解删除…...

编程日记 2024/4/9 21:33:40

✌2024/4/3—力扣—无重复字符的最长子串

代码实现&#xff1a; 解法一&#xff1a;暴力法 int lengthOfLongestSubstring(char *s) {int hash[256] {0};int num 0;for (int i 0; i < strlen(s); i) {int count 0;for (int j i; j < strlen(s); j) {if (hash[s[j]] 0) {hash[s[j]];count;num num > cou…...

编程日记 2024/4/9 21:32:38

Tauri 进阶使用与实践指南

Tauri 进阶使用与实践指南 调试技术 在 Tauri 应用开发中&#xff0c;调试分为两大部分&#xff1a;Web 端与 Rust 控制台。 Web 端调试 在 Web 端界面&#xff0c;可以直接采用浏览器内置的开发者工具进行调试。在 Windows 上&#xff0c;可以通过快捷键 Ctrl Shift i 打…...

编程日记 2024/4/9 21:30:36

2024年最新社交相亲系统源码下载

最新相亲系统源码功能介绍 参考&#xff1a;相亲系统源码及功能详细介绍 相亲系统主要功能 &#xff08;已完成&#xff09; 相亲系统登录注册 相亲系统会员列表 相亲系统会员搜索 相亲系统会员详情 相亲系统会员身份认证 - 对接阿里云 相亲系统资源存储 - 对接七…...

编程日记 2024/4/9 21:29:35

git知识

如何将develop分支合并到master分支 #简单版 git checkout master git pull origin master git merge origin/develop # 解决可能的冲突并提交 git push origin master#复杂版 git checkout master # 拉取远程 master 分支的最新代码并合并到本地 git pull origin master # 拉…...

编程日记 2024/4/9 21:28:34

变量 varablie 声明- Rust 变量 let mut 声明与 C/C++ 变量声明对比分析

一、变量声明设计&#xff1a;let 与 mut 的哲学解析 Rust 采用 let 声明变量并通过 mut 显式标记可变性&#xff0c;这种设计体现了语言的核心哲学。以下是深度解析&#xff1a; 1.1 设计理念剖析 安全优先原则&#xff1a;默认不可变强制开发者明确声明意图 let x 5; …...

编程新知 2025/9/28 20:12:12

【kafka】Golang实现分布式Masscan任务调度系统

要求&#xff1a; 输出两个程序&#xff0c;一个命令行程序&#xff08;命令行参数用flag&#xff09;和一个服务端程序。 命令行程序支持通过命令行参数配置下发IP或IP段、端口、扫描带宽&#xff0c;然后将消息推送到kafka里面。 服务端程序&#xff1a; 从kafka消费者接收…...

编程新知 2026/2/8 20:41:58

K8S认证|CKS题库+答案| 11. AppArmor

目录 11. AppArmor 免费获取并激活 CKA_v1.31_模拟系统 题目 开始操作&#xff1a; 1&#xff09;、切换集群 2&#xff09;、切换节点 3&#xff09;、切换到 apparmor 的目录 4&#xff09;、执行 apparmor 策略模块 5&#xff09;、修改 pod 文件 6&#xff09;、…...

编程新知 2026/1/29 2:11:35

【第二十一章 SDIO接口(SDIO)】

第二十一章 SDIO接口 目录 第二十一章 SDIO接口(SDIO) 1 SDIO 主要功能 2 SDIO 总线拓扑 3 SDIO 功能描述 3.1 SDIO 适配器 3.2 SDIOAHB 接口 4 卡功能描述 4.1 卡识别模式 4.2 卡复位 4.3 操作电压范围确认 4.4 卡识别过程 4.5 写数据块 4.6 读数据块 4.7 数据流…...

编程新知 2026/2/1 13:28:03

c++ 面试题(1)-----深度优先搜索（DFS）实现

操作系统&#xff1a;ubuntu22.04 IDE:Visual Studio Code 编程语言&#xff1a;C11 题目描述 地上有一个 m 行 n 列的方格&#xff0c;从坐标 [0,0] 起始。一个机器人可以从某一格移动到上下左右四个格子&#xff0c;但不能进入行坐标和列坐标的数位之和大于 k 的格子。 例…...

编程新知 2026/1/10 10:16:16

LLM基础1_语言模型如何处理文本

基于GitHub项目&#xff1a;https://github.com/datawhalechina/llms-from-scratch-cn 工具介绍 tiktoken&#xff1a;OpenAI开发的专业"分词器" torch&#xff1a;Facebook开发的强力计算引擎&#xff0c;相当于超级计算器 理解词嵌入&#xff1a;给词语画"…...

编程新知 2025/9/25 5:16:24

微信小程序云开发平台MySQL的连接方式

注&#xff1a;微信小程序云开发平台指的是腾讯云开发 先给结论&#xff1a;微信小程序云开发平台的MySQL&#xff0c;无法通过获取数据库连接信息的方式进行连接&#xff0c;连接只能通过云开发的SDK连接&#xff0c;具体要参考官方文档&#xff1a; 为什么&#xff1f; 因为…...

编程新知 2026/2/1 5:24:17

MySQL账号权限管理指南：安全创建账户与精细授权技巧

在MySQL数据库管理中&#xff0c;合理创建用户账号并分配精确权限是保障数据安全的核心环节。直接使用root账号进行所有操作不仅危险且难以审计操作行为。今天我们来全面解析MySQL账号创建与权限分配的专业方法。 一、为何需要创建独立账号&#xff1f; 最小权限原则&#xf…...

编程新知 2025/9/5 23:36:27

AI，如何重构理解、匹配与决策？

AI 时代&#xff0c;我们如何理解消费&#xff1f; 作者&#xff5c;王彬 封面&#xff5c;Unplash 人们通过信息理解世界。 曾几何时&#xff0c;PC 与移动互联网重塑了人们的购物路径&#xff1a;信息变得唾手可得&#xff0c;商品决策变得高度依赖内容。 但 AI 时代的来…...

编程新知 2026/1/30 2:33:11

初探Service服务发现机制

1.Service简介 Service是将运行在一组Pod上的应用程序发布为网络服务的抽象方法。 主要功能&#xff1a;服务发现和负载均衡。 Service类型的包括ClusterIP类型、NodePort类型、LoadBalancer类型、ExternalName类型 2.Endpoints简介 Endpoints是一种Kubernetes资源&#xf…...

编程新知 2026/2/6 15:01:23