任意文件读取
漏洞文件位于：src/main/java/cn/gson/oasys/controller/user/UserpanelController.java
src/main/java/cn/gson/oasys/controller/process/ProcedureController.java
两个文件都存在该漏洞，原理一致，这里拿第一个来说明。
在该控制器的image方法，存在任意文件读取漏洞，代码如下：
可以看到代码中首先通过getRequestURI方法当前访问的相对路径，然后将该路径中的iamge替换为空。接下来与rootpath拼接然后通过File打开文件后返回前端。
通过替换”/image”的操作，我们可以构造…/来造成目录穿越从而进行任意文件读取，BP请求如下：通过替换”/image”的操作，我们可以构造…/来造成目录穿越从而进行任意文件读取，BP请求如下：
前台sql注入
src/main/java/cn/gson/oasys/controller/inform/InformController.java 68行
有一个informlistpaging方法
在该方法中定义了一个字符串请求参数basekey，用list集合接收了sortMyNotice方法处理basekey等参数的结果，跟进查看哪里定义了nm
跟进NoticeMapper
转到mapper层
在此数据持久层搜索调用到的selectid
在like后面直接用${%%}进行模糊查询，导致了漏洞的产生
漏洞验证
根据controller的路由构造url：
sqlmap.py -r D:\test.txt
sqlmap.py -r D:\test.txt --random-agent --dbs --current-db
创建一个普通职工账号 test test
大致浏览pom.xml代码时发现了mybatis，mybatis中存在${}SQL注入，全局搜索${},发现在/src/main/resources/mappers/address-mapper.xml和/src/main/resources/mappers/notice-mapper.xml中存在${}
接下来就去看那个地方对该参数进行了调用,往上跟踪cn.gson.oasys.mappers.NoticeMapper接口——>sortMyNotice追踪到/src/main/java/cn/gson/oasys/controller/inform/InformController.java的如下代码中
可以看到baseKey是可控的，直接从前端传入，下面给的有url,然后直接访问就行 http://localhost:8089/informlistpaging?baseKey=1
报错注入
通过构造payload可以使用报错注入的方式在控制台处得到返回的报错信息
Payload
http://localhost:8089/informlistpaging?baseKey=1' and (select extractvalue(“0x7e”,concat(‘~’,(select user())))a) and ‘1’=’1
时间盲注
同样可以构造时间盲注的payload
http://localhost:8089/informlistpaging?baseKey=1' and (select * from(select(sleep(2)))a) and ‘1’=’1%23
XSS(笔记处)
在测试功能点时发现在写笔记时将标题名可直接写为XSS恶意代码
代码中并未对该处输入坐任何限制，在存储时也是直接将得到的Title存储.
SQL注入
在resources\mappers中，发现了mapper文件，在第16行用了$拼接，那么会造成SQL注入，但前提是看一下pinyin这个参数是不是可控。
那就一步步往上跟：
cn.gson.oasys.mappers.AddressMapper接口------>allDirector方法直接全局搜索，定位到Controller中
进入到AddrController中outAddress方法，可以确定在Mapper中pinyin这个参数是可以被利用的。既然是RequestMapping，不用再去找页面中摸索功能点了。那么直接进行get方式访问。
构造请求
直接一手sqlmap跑出来。
文件管理-新建文件夹存在XSS漏洞
访问上述功能，点击新建文件夹，输入文件夹名为XSS验证语句<img src=1 onerror=alert(1) />，如下图所示：
成功实现弹框。
