業借助IT和云計算技術，實現傳統辦公方式向新型辦公方式轉型。2020年以來，新冠疫情席卷全球，推動了云辦公模式市場，加速BATH（百度、阿里、騰訊、華為）等紛紛布局云計算服務市場，傳統企業也積極融入，并搭上數字化轉型的快車，加速提高企業智能化和自動化水平。

1、對OA的理解

辦公自動化（Office Automation，簡稱OA），借助IT和云計算技術，實現傳統辦公方式向新型辦公方式轉型。OA系統將企業生產、服務及管理決策的各個層面利用IT技術，實現對文檔、資源、流程等過程控制信息的高效利用，促進完善和提高企業的辦公智能化、自動化水平。

2、OA系統的發展的五個階段

第一階段：實現無紙化辦公，將傳統紙面化的文檔轉化為電子化管理，以辦公、公文及文檔、信息發布等管理為主。

第二階段：實現信息化管理，將引入WF流程引擎，將相關文檔流程化管控，實現網絡化、自動化、審批管理。

第三階段：實現共享知識管理，結合企業共享知識，生產及專業知識，構建企業知識共享中心、信息中心、文檔中心、資源中心等，實現基于網絡化的企業知識中心。

第四階段：實現企業協同辦公管理，引入協同管理制度和理念，讓全員參與OA，讓流程監督管理，讓協同提高效率，一環扣一環，環環相連接，提高決策和管理效能。

第五階段：實現云端辦公OA，引入云平臺管理理念，讓辦公無處不在，特別是在新冠疫情期間，云端辦公可以大大提高效率，實現無邊界而有組織的大型企業云辦公服務管理，讓工作無處不在，打破物理圍墻，構建無邊界辦公族組織模式，這也許就是未來流行的無邊界辦公模式（以人為本，以時間和結果為目標核心，無地域界限的辦公模式）。

3、OA辦公自動化系統的構成

OA的組成，主要包括三個方面：協同辦公基礎應用、業務流程及專項管理應用。

（1）協同辦公基礎應用：收發文管理、會議管理、信息報送、電子印章、公文交換、公文檢索、統計中心、值班管理、出差考勤、辦公用品、車輛管理、文檔中心等。

（2）業務流程：采購審批、IT審批流程、人事服務流程、用印審批流程、資產管理流程、財務流程等。

（3）專項管理應用：信息采編、管理效能、防疫管理、差旅服務、一網通辦、知識管理、智慧黨建、建議提案、標準法規、檔案管理、成果提交等

（4）協作工具：即時消息、視頻會議、調查問卷、短信、郵件、通訊錄、電子期刊、個人日歷、待辦中心、消息中心。

（5）多終端融合辦公門戶：統一門戶、移動門戶、專題門戶、審批門戶、個人中心、信息發布、圖片報道、企業活動、通知公告及新聞動態。其中包括：流程集成、業務集成、郵件集成、報表集成、組織集成、SSO集成。

4、OA的搭建流程

（1）軟件系統：支撐軟件包括操作系統、數據庫、中間件等。

（2）硬件系統：運行環境搭建，包括數據庫服務器、應用服務器、文檔服務器、通訊網絡等，當然，這里也可以租令云計算平臺，搭建云辦公OA系統。

5、OA信息安全等保要求有哪些？

OA等保要求主要包括：日志跟蹤、三員管理、數據安全、訪問安全、登錄安全、身份安全、應用安全等。

6、為什么要建OA？它能解決什么問題？

（1）企業建設OA辦公自動化系統，旨在構建一個集文檔、流程、信息等于一體的平臺，實現企業管理標準化、規范化、流程化、便捷化管理。將協作、辦公、組織、用戶等連接在一起協同辦公，打造企業辦公協同管控平臺，實現數字化轉型和信息技術應用創新，讓工作更便捷，讓協同更高效。

（2）建設OA能幫助企業解決什么問題呢？

第一，實現全企業流程化、自動化辦公。

第二，實現任務督辦和提醒，無需人為干預，讓流程和數據來說話，證明企業高效程度如何。

第三，實現文檔和信息發布的共享，提高各部門協作的效率，實現了知識分享、管理及標準化制度文件的分發和電子化管理。

第四，將所有的辦公文檔、信息、流程等信息數字化管理，實現業務數據化，將非結構化數據結構化，便于大數據分析，提高工作能力和促進企業高質量發展。

第五，降低運營成本，企業工作聯系、指派及閉環管理，將結束以人盯人的方式，轉變為以數據和流程來盯事務，大大降低人員管控成本。

第六，實現無邊界辦公環境，讓每個人成為自己的管理者，開拓了無邊界協同辦公的新篇章、新模式和新世界。

7、OA系統的智能化協同辦公特點

（1）問答機器人：實現簡單企業常規、標準問題的回復和指引。

（2）人臉識別：與安保系統關聯，實現人臉識別、記錄及管理。

（3）智能語音：與智能機器人關聯，實現部分功能采用語音輸入、語音導航、語音撥通電話等功能。

（4）掃描審批：與二維碼關聯，直接關聯審批單據，提高效率。

（5）機器人收發文：定期發布期刊、收文、發文等，指定發送人和組織，不用等待和看守，機器人一步搞定。

（6）自動考核機器人：借助云辦公，實現考勤、成果提交、視頻會商、方案交流及版本等全流程協同和結果管控。

（7）其他智能化設備及功能，根據用戶需求定制開發和轉化為企業能力。

在此，小編以簡搭(jabdp)低代碼開發平臺為例，讓我們一起來了解一下如何實現ERP管理系統的快速開發。簡搭(jabdp)平臺就是一個免費且全功能開源的低代碼平臺，只需要會簡單的javascript和sql，便可實現復雜的業務功能。

用簡搭(jabdp)低代碼平臺搭建ERP系統的優勢

1、“可塑性”強

低代碼平臺自身具備極強的“可塑性”，支持在后續的運用過程中繼續做出很多計算和改進。此外，還支持用戶隨時隨地進行自主擴展或者修改，并且支持對接第三方系統，便于企業對業務進行管理，對相關數據進行交互等，從而提高工作效率。

2、優化企業業務流程

簡搭提供自定義平臺，將業務功能模塊化、接口標準化（SOA架構設計），便于用戶可以靈活的按自己需求，編排組合自己的業務流程，從而達到優化現有流程。

3、降低企業的管理和數字化實施成本

ERP系統通過細節精細化管理，為企業樹立成本優勢；通過實時精細監控物料等措施，將生產損耗控制到最低最合理的狀態，實現資源利用率最大化。

4、私有云部署，安全穩定

簡搭(jabdp)主打私有云部署模式，可以讓企業將此項目管理系統安放在企業內部網絡段，阻隔外部網絡各種不安全原因，保證項目數據的私密性。并且可以自定義系統更新時間及更新版本，減少因系統更新所帶來的各種不穩定因素。

5、簡單功能零代碼配置，復雜功能低代碼開發

好了，今天的文章分享到這就結束了，要是喜歡的朋友，請點個關注哦！--我是簡搭(jabdp)，我為自己“帶鹽”，感謝大家關注。

著信息技術的快速發展，辦公自動化系統已經成為現代企業管理的重要組成部分。OA辦公系統作為一種集成了各種辦公流程和業務功能的軟件應用，為企業提供了高效、便捷的辦公環境。本文將深入探討OA辦公系統的源碼結構和實現原理，并提供一些實踐指南，幫助讀者更好地理解和應用該系統。

一、OA辦公系統源碼結構概述 OA辦公系統的源碼通常由前端和后端兩部分組成。前端部分負責用戶界面的展示和交互，后端部分負責處理用戶請求、數據存儲和業務邏輯的實現。下面我們將分別介紹這兩部分的源碼結構。

1. 前端源碼結構 前端源碼通常由HTML、CSS和JavaScript等技術組成。HTML負責頁面結構的定義，CSS負責頁面樣式的渲染，JavaScript負責頁面交互和數據處理。在OA辦公系統中，前端源碼通常按照模塊劃分，每個模塊對應一個功能或業務流程。通過模塊化的設計，可以提高代碼的可維護性和可擴展性。
2. 后端源碼結構 后端源碼通常使用一種編程語言（如Java、PHP等）來實現。根據不同的技術棧和框架，后端源碼的結構可能會有所不同。一般而言，后端源碼主要包括路由、控制器、模型和數據庫等組件。路由負責將用戶請求映射到相應的控制器，控制器負責處理用戶請求并返回相應的數據或頁面，模型負責封裝業務邏輯和數據操作，數據庫負責數據的存儲和檢索。

二、OA辦公系統源碼實現原理解析 了解OA辦公系統的源碼實現原理對于開發人員來說非常重要。下面我們將從用戶認證、權限管理和數據存儲等方面介紹OA辦公系統的實現原理。

1. 用戶認證 用戶認證是OA辦公系統的核心功能之一。通常情況下，用戶需要提供用戶名和密碼進行登錄。在后端源碼中，可以通過使用加密算法對用戶密碼進行加密存儲，以提高系統的安全性。同時，還可以使用會話管理技術（如Token、Session等）來實現用戶的登錄狀態管理。
2. 權限管理 權限管理是保證OA辦公系統安全性的重要手段。通過設置不同的角色和權限，可以限制用戶對系統功能和數據的訪問權限。在后端源碼中，可以使用RBAC（Role-Based Access Control）模型來實現權限管理。RBAC模型通過將用戶分配給不同的角色，再將角色與權限進行關聯，實現對系統資源的精細控制。
3. 數據存儲 數據存儲是OA辦公系統的基礎。通常情況下，系統需要支持對用戶信息、部門信息、流程數據等進行存儲和檢索。在后端源碼中，可以使用關系型數據庫（如MySQL、Oracle等）或者NoSQL數據庫（如MongoDB、Redis等）來實現數據的持久化存儲。同時，還可以使用ORM（Object-Relational Mapping）框架來簡化數據操作的實現。

三、OA辦公系統源碼實踐指南 為了更好地理解和應用OA辦公系統的源碼，我們提供以下幾點實踐指南：

1. 仔細閱讀源碼文檔和注釋：源碼文檔和注釋通常包含了系統的設計思路、核心功能和關鍵實現細節。通過仔細閱讀源碼文檔和注釋，可以更好地理解系統的整體架構和代碼邏輯。
2. 運行和調試系統：在閱讀源碼的同時，可以嘗試運行和調試系統，通過實際操作來驗證源碼的實現效果。可以使用開發工具提供的調試功能，逐步跟蹤代碼執行過程，找出潛在的問題和改進的空間。
3. 參與開源社區和交流討論：參與開源社區和交流討論是學習和應用源碼的重要途徑。可以通過提交代碼、解答問題等方式積極參與開源項目，與其他開發者進行交流和分享經驗。

結語： 本文對OA辦公系統的源碼結構和實現原理進行了解析，并提供了一些實踐指南。通過深入學習和應用OA辦公系統的源碼，可以提升自己的編程能力和項目開發經驗。希望讀者通過本文的介紹，能夠更好地理解和應用OA辦公系統，為企業的辦公自動化提供更高效、便捷的解決方案。

023年HVV中爆出來的洞了，但是有一些漏洞點修復了，剛好地市級的攻防演練中遇到了一個，想著把可能出現問題的點全部審計一下，順便熟悉一下.net代碼審計。ps:感興趣的師傅們可以自行根據poc搜索源碼。

0x1 反編譯

好吧，當我沒說，下載dnspy反編譯即可，但是首先要找到web邏輯代碼才能開始審計，因為這套oa是使用了mvc開發模式，簡單介紹一下mvc，其實就是model，controller，view，其中的view是視圖也就是html等展示給用戶看的東西，model是模型也就是控制數據庫的代碼。controller是控制器負責執行代碼的邏輯，也就是我們需要審計的地方了。

然后找到controller就是web的主要邏輯了。

0x2 身份校驗繞過

首先可以隨便點入一個controller，發現filesController繼承自TopVisionApi。

然后我們發現IsAuthorityCheck()這個函數用于判斷權限。

首先看到第一行代碼getByValue這個函數,其實Request.Properties["MS_HttpContext"]).Request[value]就是獲取http請求中的某個參數，而value就是調用傳過來的參數，在這里是token，那么這段代碼就是獲取http中的token參數。

然后if判斷了token是不是空值然后再判斷token參數的值是不是等于"zxh"，如果登錄則直接返回一個UserInfo對象。

然后回到filesController的身份判斷，發現只判斷了IsAuthorityCheck返回是否為null，所以只需要讓token參數是zxh的時候，那么就可以繞過身份校驗了。

0x3 任意文件下載

還是 filesController 這個控制器 DownloadRptFile方法。這時我們已經繞過了身份認證，所以只需要看之后代碼即可。requestFileName就是我們傳遞的http參數，

然后跟進代碼。并未發現任何過濾../的行為，直接傳遞給getBinaryFile函數

getBinaryFile函數如下。

結果證明: （讀取文件內容會以base64返回）

0x4 信息泄露

發現GetCurrentUserList方法查詢了所有用戶信息。并且返回給前臺。

<UserInfo>是c#中的泛型，這里是用來查詢數據庫的。可以看到遍歷了dicUserList這個數組。這個數組就是初始化的用戶信息數組了。

直接訪問：

0x5 任意文件刪除

發現DeleteFile2方法是一個刪除文件方法。這里也沒有發現過濾../以及過濾刪除文件的后綴名。

雖然是有限制了文件路徑，但是全然沒有過濾../，而且filename參數也是完全可控的。所以這里其實是存在任意文件刪除漏洞的。

ps: 這里就不放驗證截圖了，感興趣的師傅們可以自行本地驗證。

【----幫助網安學習，需要網安學習資料關注我，私信回復“資料”免費獲取----】
① 網安學習成長路徑思維導圖
② 60+網安經典常用工具包
③ 100+SRC漏洞分析報告
④ 150+網安攻防實戰技術電子書
⑤ 最權威CISSP 認證考試指南+題庫
⑥ 超1800頁CTF實戰技巧手冊
⑦ 最新網安大廠面試題合集（含答案）
⑧ APP客戶端安全檢測指南（安卓+IOS）

0x6 任意文件上傳

UploadFile2方法中獲取了各種參數，然后傳入UploadFile2

跟進該方法。pathType就是限制文件上傳到哪個文件夾的。

pathType詳解：

fs參數是我們傳遞的byte數組也就是文件的內容。

startPoint等于0就好這樣才能創建一個新的文件，datasize則是數組的長度。

漏洞驗證：

0x7 SQL注入

InventoryController的GetProductInv方法，直接從參數獲取boxNoName未經過過濾直接通過string.Format拼接至sql語句中，導致了sql注入。

驗證：直接sqlmap即可