JFinalcms代码审计

JFinalCms是开源免费的JAVA企业网站开发建设管理系统，极速开发，动态添加字段，自定义标签，动态创建数据库表并crud数据，数据库备份、还原，动态添加站点(多站点功能)，一键生成模板代码。

环境布置：IDEA打开项目，等待maven加载好。

使用phpstudy集成的mysql5.7数据库即可，导入JFinalCMS.sql数据库。

修改pom文件：

 

使用local9.0.90TOMCAT，JDK环境1.8。

运行TOMCAT，打开后台:

http://localhost:8081/cms_war_exploded/

反射xss：

搜索/admin/login定位到代码块：

由上可见，通过getPara获取账号密码后再通过render渲染到前端页面：

再分析前端代码构造xss进行闭合：