1.文件格式有哪几种文件格式有哪几种
2.第60篇：Thymeleaf模板注入漏洞总结及修复方法（上篇）

文件格式有哪几种文件格式有哪几种

       关于文件格式有哪几种，模板文件格式有哪几种这个很多人还不知道，源码源码今天来为大家解答以上的模板问题，现在让我们一起来看看吧！源码源码

       1、模板常见的源码源码ecshop ios源码文件格式有：AAAC：MPGE-4高级音频编码ACC：苹果设备的专属音乐格式ACE：Ace压缩档案格式ACT：Microsoft office助手文件AIF，AIFF：音频互交换文件，模板Silicon Graphic and Macintosh应用程序的源码源码声音格式ANI：Windows系统中的动画光标APK：AndroidPackage /Android(安卓)安装包，APK是模板类似Symbian Sis或Sisx的文件格式。

       2、源码源码通过将APK文件直接传到Android模拟器或Android手机中执行即可安装APS：开发环境使用的模板资源文件，若要修改资源需要修改3个文件，源码源码.aps文件.rc文件 Resource.hARC：LH ARC的模板压缩档案文件ARJ：Robert Jung ARJ压缩包文件ASD：Microsoft Word的自动保存文件；Microsoft高级流媒体格式（microsoft advanced streamingformat，ASF）的源码源码描述文件；可用NSREX打开 Velvet Studio例子文件ASF：Microsoft高级流媒体格式文件ASM：汇编语言源文件，Pro/E装配文件ASP：动态网页文件；ProComm Plus安装与连接脚本文件；Astound介绍文件AST：Astound多媒体文件；ClarisWorks“助手”文件avi：Windows视频文件Axx：ARJ压缩文件的模板分包序号文件，用于将一个大文件压至几个小的压缩包中（xx取-的数字）A3L：Authorware 3.x库文件A4L：Authorware 4.x库文件A5L：Authorware 5.x库文件A3M，A4M：Authorware Macintosh未打包文件A3W，A4W，日内短线指标源码A5W：未打包的Authorware Windows文件BBAK：备份文件BAS：Visual Basic Module VB6模块文件BAT：批处理文件BDICT：百度输入法词库文件BIN：二进制文件，其用途依系统或应用而定BINHex：苹果的一种编码格式BMP：Windows或OS/2位图文件BOOK：Adobe FrameMaker Book文件BOX：Lotus Notes的邮箱文件BPL：Borlard Delph 4打包库BPS：百度输入法皮肤文件BSP：Quake图形文件BUN：CakeWalk 声音捆绑文件(一种MIDI程序)CC：C代码文件C0l：台风波形文件CAB：Microsoft压缩档案文件CAD：Softdek的Drafix CAD文件CAM：Casio照相机格式CAP：压缩音乐文件格式CAS：逗号分开的ASCⅡ文件CCB：Visual Basic动态按钮配置文件CCH：Corel图表文件CCO：CyberChat数据文件CCT：Macromedia Director Shockwave投影CDA：CD音频轨道CDF：Microsoft频道定义格式文件CDI：Philip的高密盘交互格式CDM：Visual dBASE自定义数据模块文件CDR：CorelDRAW绘图文件；原始音频CD数据文件CDT：CorelDRAW模板CDX：CorelDRAW压缩绘图文件；Microsoft Visual FoxPro索引文件CFG：配置文件CGI：公共网关接口脚本文件CGM：计算机图形元文件CH：OS/2配置文件CHI：.CHM文件的一个索引，用来支持对应的.CHM文件中的搜索功能，要和同名的.CHM文件放到一起用CHK：由Windows磁盘碎片整理器或磁盘扫描保存的文件碎片CHM：HTML格式的帮助文档CHP：Ventura Publisher章节文件CHR：字符集（字体文件）CHT：ChartViem文件；Harvard Graphics矢量文件CIF：Adaptec CD 创建器 CD映像文件CIL：Clip Gallery下载包CIM：SimCity 文件CIN：OS/2改变控制文件用于跟踪INI文件中的变化CLASS：Java类文件CLP：Windows 剪贴板文件CLL：Crick Software Clicker文件CLS：Visual Basic类文件CMD：Windows NT，OS/2的命令文件；DOS CD/M命令文件；dBASEⅡ程序文件COM：操作系统中的二进制可执行文件，可执行文件分两种一种是后辍名为.COM另一种就是.EXE 了，.COM一般用于DOS。

       3、CPI：Microsoft MS-DOS代码页信息文件CPL：控制面板扩展名，Corel颜色板CPP：C++代码文件CPR：Corel提供说明书文件CPT：Corel 照片-绘画图像CSS：层叠样式表文档，配合HTML使用，单独专门定义样式表CST：Macromedia Director Cast文件CSV：Comma Separated Value逗号分隔值，通常都是纯文本文件CTL：Visual Basic User Control VB6.0用户自定义控件CTX：Visual Basic User Control Binary FileVB6.0用户自定义控件二进制缓存文件CUR：Windows光标文件DDAT：数据流格式，DAT文件也是MPG格式的，是VCD刻录软件将符合VCD标准的MPEG-1文件自动转换生成的。

       4、也有数据文件的php项目源码部署后缀名为.DAT，文件格式不确定，任何文件的后缀名都可以设为.DAT，因为读取数据不是从后缀名判断的，而是从文件格式判断DB：数据库文件，Thumbs.db是缩略图缓存DBF：dBASE文件，一种由Ashton-Tate创建的格式，可以被ACT！、Lipper、FoxPro、Arago、Wordtech、Xbase和类似数据库或与数据库有关产品识别；可用数据文件（能被Excel打开）；Oracle 8.1.x表格空间文件DBX：DataBearn图像；Microsoft Visual FoxPro表格文件DCF：数码照相机统一记录格式，DCF 也有音频格式DCT：Microsoft Visual FoxPro数据库容器DCU：Delphi编译单元文件DCX：Microsoft Visual FoxPro数据库容器；基于PCX的传真图像；宏DIR：MacromediaDirector文件DLF：一种INI配置文件格式的语言文件DLL：动态链接库DOC： Microsoft Word 文档文件DOCX：Microsoft Word 文档文件Perfect文档、Microsoft：Word文档；DisplayWrite文档DOT：Microsoft Word文档模板DPL：Borland Delph 3压缩库DRV：驱动程序DRW：Micrografx Designer/Draw；Pro/E绘画文件DSF：Micrografx Designer VFX文件DSG：DOOM保存的文件DSM：Dynamic Studio音乐模块（MOD）文件DSP：Microsoft Developer Studio工程文件DSQ：Corel QUERY（查询）文件DST：刺绣机图形文件DSW：Microsoft Developer Studio工作区文件DTA：World Bank（世界银行）的STARS数据文件DTD：SGML文档类型定义（DTD）文件DTED：地面高度数字数据（图形的数据格式）文件DTF：Symantec Q&A相关的数据库数据文件DTM：DigiTrakker模块文件DUN：Microsoft拔号网络导出文件DV：数字视频文件（MIME）DWG：AutoCAD工程图文件；AutoCAD或Generic CADD老版本的绘图格式DXR：Macromedia Director受保护（不可编辑）**文件EE：易语言代码源文件EC：易语言模块文件EDA：Ensoniq ASR磁盘映像EDD：元素定义文档（FrameMaker+SGML文档）EDE：Ensoniq EPS磁盘映像EDK：Ensoniq KT磁盘映像EDQ：Ensoniq SQ1/SQ2/Ks磁盘映像EDS：Ensoniq SQ磁盘映像EDV：Ensoniq VFX-SD磁盘映像EFA：Ensoniq ASR文件EFE：Ensoniq EPS文件EFK：Ensoniq KT文件EFQ：Ensoniq SQ1/SQ2/Ks文件EFS：Ensoniq SQ文件EFV：Ensoniq VFX-SD文件EMD：ABT扩展模块EMF：Windows增强元文件EML：Microsoft Outlook Express邮件消息（MIME RTC）文件EOT：是一种压缩字库，目的是解决在网页中嵌入特殊字体的难题，目前只有微软的repodata源码包安装IE浏览器支持EXE：可执行文件（程序）FFAV：Microsoft Outlook导航条FAX：传真类型图像FCD：虚拟CD-ROMFDF：Adobe Acrobat表单文档文件FLA：Macromedia Flash动画源文件FLAC：无损音频压缩编码FLV：Flash视频文件FNE：易语言的其中一种支持库文件，用于在易语言中装载和提供对应的命令和方法，易语言支持库还有FNR格式、NPK格式以及LPK文件包等。

       5、FND：Microsoft Explorer保存的搜索文件（Find applet）FNR：FNR文件是易语言的其中一种支持库文件，用于在易语言中装载和提供对应的命令和方法，但是与FNE格式支持库不同的是，FNR不带编辑信息，有运行支持代码的支持库。

       6、FON：系统字体FRM：Visual Basic Form File VB6.0窗体文件FRT：Microsoft FoxPro报表文件FRX：Visual Basic表单文本；Microsoft FoxPro报表文件FXP：经Microsoft FoxPro编译的源文件GGDM：铃声、口哨声和声音板模块格式GetRight：GetRight未完成的下载文件GHO：Norton 克隆磁盘映像GID：Windows 全局索引文件（包括帮助状态）GiF：动态文件GL：动画格式GRP：程序管理组HH：C/C++ Header 头文件HEX：Macintosh BinHex2.0文件HLP：帮助文件；Date CAD Windows帮助文件HPP：C++程序头文件HQX：Macintosh BinHex 4.0文件HT：HyperTerminal（超级终端）HTM，HTML：超文本文档HTT：Microsoft超文本模板HTX：扩展HTML模板IICO：Windows图标IDX：Microsoft FoxPro相关数据库索引文件；Symantec Q&A相关数据库索引文件；Microsoft OutlookExpress文件IMG：GEM映像INC：Include File 引用文件，ASP中也会用到INF：Windows操作系统下用来描述设备或文件等数据信息的文件INI：配置文件，ini文件格式适合程序记录一些基本的配置设置INP：Oracle 3.0版或早期版本的表单源代码INRS：INRS远程通信声频INS：InstallShield安装脚本；X-Internet签字文件；Ensoniq EPS字簇设备；Cell/ⅡMAC/PC抽样设备INT：中间代码，当一个源程序经过语法检查后编译产生一个可执行代码IOF：Findit文档IQY：Microsoft Internet查询文件ISO：根据ISD 有关CD-ROM文件系统标准列出CD-ROM上的文件ISP：X-Internet签字文件ISS：Inno Setup 项目脚本文件 （Inno Setup 是一种安装包生成工具）IST：数字跟踪设备文件ISU：InstallShield卸装脚本IT：脉冲跟踪系统音乐模块(MOD)文件ITI：脉冲跟踪系统设备ITS：脉冲跟踪系统抽样，Internet文档位置IV：Open Inventor中使用的同花顺adx指标源码文件格式IVD：超过/微观数据维数或变量等级文件IVP：超过/的用户子集配置文件IVT：超过/表或集合数据文件IVX：超过/微数据目录文件IW：Idlewild屏幕保护程序IWC：Install Watch文档JJ：Ricoh照相机格式JAR：Java档案文件（一种用于applet和相关文件的压缩文件）JAVA：Java源文件JAVA：Java源文件JFF，JFIF，JIF：JPEG文件JPE，JPEG，JPG：JPEG图形文件JS：javascript源文件JSP：HTML网页，其中包含有对一个Java servlet的参考KKAR：卡拉OK MIDI文件（文本+MIDI）KEY：授权文件LLAB：Visual dBASE标签文件LBT，LBX：Microsoft FoxPro标签文件LDB：Microsoft Access加锁文件LHA：LZH更换文件后缀LIB：Windows系统中的库文件，分为两种，静态库与动态库LIC：License 用户许可证书文件LNK：快捷方式文件LOG：日志文件LPK：LPK文件是易语言的其中一种支持库安装包，包含".FNE"、".FNR"、相关例程和文档的全部或部分文件。

       7、用于在易语言中装载和提供对应的命令和方法LST：列表文件 /MASM ListingLUA：LUA脚本语言文件LZH：LH ARC压缩档案MM1V：MPEG相关文件(MIME"mpeg"类型)M3D：Corel Motion 3D动画文件M3U：MPEG URL（MIME声音文件）MAM：Microsoft Access宏MAQ：Microsoft Access查询文件MAR：Microsoft Access报表文件MBX：Microsoft Outlook保存email格式；Eudora邮箱MCW：Microsoft Word的Macintosh文档MDB：Microsoft Access数据库MDN：Microsoft Access空数据库模板MDW：Microsoft Access工作组文件MID：MIDI音乐MKV：视频文件MMM：Microsoft多媒体**MOV：QuickTime for Windows视频文件MP2：第二层MPEG音频文件MP3：第三层MPEG音频文件MP4：视频或音频文件MPA：MPEG相关文件，MIME“mpeg类型”MPE，MPEG，MPG：MPEG动画文件MPP：Microsoft工程文件；CAD绘图文件格式MPR：Microsoft FoxPro菜单（已编译）MSI：Windows 安装器包MSN：Microsoft 网络文档；Descent Mission文件NNPK：NPK属于易语言COM包装支持库，该支持库是引用COM包装库生成的，例如WebBrowser、Windows媒体播放器。

       8、该扩展名格式支持库可用记事本打开。

       9、OOBD：Microsoft Office活页夹OBJ：对象文件OBZ：Microsoft Office活页夹向导OCX：Microsoft对象链接与嵌入定制控件ODS：Microsoft Outlook Express邮箱文件OFT：Microsoft Outlook模板OPX：OPL扩展DLL（动态链接库）OSS：Microsoft Office查找文件OST：Microsoft Exchange / Outlook 离线文件PPAL：压缩文件PART：Go！Zilla部分下载文件PAS：Pascal源代码PCS：PICS动画文件PDF：Adobe Acrobat可导出文档格式文件（可用Web浏览器显示）；Microsoft系统管理服务器包定义文件；NetWare打印机定义文件PEM：OpenSSL 使用 PEM 文件格式存储证书和密钥。

       、PEM 实质上是 Base 编码的二进制内容，再加上开始和结束行BEGIN CERTIFICATE、ENDCERTIFICATE，在这些标记外面可以有额外的信息，如编码内容的文字表示。

       、文件是 ASCII 的，可以用任何文本编辑程序打开PHP，PHP3：包含有PHP脚本的HTML网页PHTML：包含有PHP脚本的HTML网页；由Perl分析解释的HTMLPM5：Pagemaker 5.0文件PM6：Pagemaker 6.0文件PNG：可移植图像文件PPS：Microsoft Powerpoint幻灯片放映PPT：Microsoft Powerpoint演示文稿PRF：Windows系统文件，Macromedia导演设置文件PSD：Adobe photoshop位图文件PSM：Protracker Studio模型格式；Epic游戏的源数据文件PST：Microsoft Outlook个人文件夹文件PWL：Windows 口令列表文件QQIF：QuickTime相关图像（MIME）；Quicken导入文件QPYD：QQ拼音输入法词库文件QPYS：QQ拼音输入法皮肤文件QT，QTM：QuickTime**QTI，QTIF：QuickTime相关图像QTP：QuickTime优先文件QTS：Mac PICT图像文件；QuickTime相关图像QTX：QuickTime相关图像RRA：RealAudio声音文件RAM：RealAudio元文件RAR：Windows RAR压缩文件RC：Resource Script开发环境使用的资源文件，若要修改资源需要修改3个文件，.aps文件.rc文件 Resource.hREC：录音机宏；RapidComm声音文件REG：注册表文件REP：Visual dBASE报表文件RES：Microsoft Visual Studio资源文件RM：RealAudio视频文件RMF：Rich Map格式（3D游戏编辑器使用它来保存图）ROM：基于盒式磁带的家庭游戏仿真器文件（来自Atari 、Colecovision、Sega、Nintendo等盒式磁带里的ROM完全拷贝，在两个仿真器之间不可互修改）RTF：Rich Text Format 富文本格式（也有称为多文本格式）Rxx：多卷档案上的RAR压缩文件（xx=1～间的一个数字）SSAV：游戏保存文件SB：原始带符号字节（8位）数据SBK：Creative Labs的Soundfont 1.0 Bank文件；(Soundb laster)/EMU SonndFont v1.x Bank文件SBL：Shockwave Flash对象文件SCC：Microsoft SourceSafe Status 在VB6.0中是管理记录文件SCF：Windows Explorer命令文件SCH：Microsoft Schedule+1SCP：拨号网络脚本文件SCR：Windows屏幕保护；传真图像；脚本文件SFX：RAR自解压档案SHTML：含有服务器端包括（SSI）的HTML文件SKN：皮肤文件，QQ拼音输入法的皮肤源文件也是.sknSLN：Microsoft Visual Studio Solution VS开发环境的解决方案文件SPL：Shockwave Flash对象；DigiTrakker抽样SQL：Informix SQL查询；通常被数据库产品用于SQL查询（脚本、文本、二进制）的文件扩展名STF：Microsoft 安装文件STM：.shtml的短后缀形式，含有一个服务端包括（SSI）的HTML文件；Scream Tracker V2音乐模块（MOD）文件STR：屏幕保护文件SVG：一种用XML定义的语言，用来描述二维矢量及矢量/栅格图形SWA：在Macromedia导演文件（MP3文件）中的Shockwave声音文件SWF：Flash动画文件SYS：系统文件TT：Commodore 仿真器磁带映像文件TDF：Text Design File 是一个文字格式，或者是一个字幕文件格式THEME：Windows 桌面主题文件TIF，TIFF：标签图像文件格式（TIFF）位图TLB：类似于.ocx，是一种ActiveX文件TMP：Windows临时文件TORRENT：BT种子文件TRM：终端文件TTF：TrueTypeFont是Apple公司和Microsoft公司共同推出的字体文件格式TXT：Windows文本文档TZ：老的压缩格式文件VVBA：VBase文件VBP：Microsoft Visual Basic工程文件VBW：Microsoft Visual Basic工作区文件VBX：Microsoft Visual Basic用户定制控件VCXPROJ：VC++ Project / C++ 工程文件VCXPROJ.FILTERS：VC++ Project Filters File / C++项目文件虚拟目录VCXPROJ.USER：Visual Studio Project User Options file / 项目用户配置VOB：DVD视频文件VQE，VQL：Yamaha Sound-VQ定位器文件VQF：Yamaha Sound-VQ文件（可能出现标准）VRF：Oracle 7配置文件VSL：下载列表文件（GetRight）WWAB：Microsoft Outlook文件WAD：包含有视频、玩家水平和其他信息的DOOM游戏的大文件WAL：Quake 2正文文件WAV：Windows波形声形WBK：Microsoft Word备份文件WFM：Visual dBASE Windows表单WFN：在CorelDRAW中使用的符号WIZ：Microsoft Word向导WOFF：Web Open Font Format Web开放字体格式，是一种网页所采用的字体格式标准WRL：虚拟现实模型WWL：Microsoft Word内插器文件XXLK：Microsoft Excel备份XLL：Microsoft Excel内插器文件XLM：Microsoft Excel宏XLS：Microsoft Excel 电子表格XLSB：Microsoft Excel 二进制电子表格XLSX：Microsoft Excel 电子表格XLT：Microsoft Excel模板XLV：Microsoft Excel VBA模块XLW：Microsoft Excel工作簿/工作区XML：可扩展标记语言ZZAP：Windows软件安装配置文件zip：Windows RAR 压缩文件-：用于为老版本（或备份）文件编号（比如：被安装程序改变的CONFIG.SYS文件）；又可用于为小范围的PC应用程序的多个用户相关数据文件编号M：Lotus 1-2-3 SmartMaster文件：Lotus 1-2-3 文件2D：VersaCAD的2维绘画文件2GR，3GR：在Windows之下的VGA图形驱动程序/配置文件：在或更高级处理器上使用的文件3D：VersaCAD的3维绘画文件3DM：3D NURBS建模器，Rhino3DS：3D Studio（DOS下）格式文件4GE：Informix 4GL编译后代码4GL：Informix 4GL源代码。

       本文到此分享完毕，希望对大家有所帮助。

第篇：Thymeleaf模板注入漏洞总结及修复方法（上篇）

       第篇：Thymeleaf模板注入漏洞总结及修复方法（上篇）

       在审计一套金融系统源代码时，我发现了四处Thymeleaf模板注入漏洞。在研究过程中，我发现尽管网上的文章众多，但部分信息可能存在错误。为确保理解，我亲自搭建环境并测试漏洞利用方法，这里分享我的发现。

       技术研究过程

       首先遇到的问题是，GitHub上的测试环境版本过新，不包含已知的漏洞。确保测试成功，需要在pom.xml中配置特定版本的Thymeleaf组件。

       在较旧的漏洞版本中，需要使用特定的%0A和%0D编码来执行注入。记得对payload中的特殊字符进行URL编码，或者整体URL编码。

       Thymeleaf模板表达式形式多样，如${ ...}、*{ ...}、#{ ...}等。利用漏洞时，可尝试将${ ...}替换为*{ ...}。

       漏洞常常出现在用户提交的数据能影响return语句的地方，可能导致代码执行漏洞。

       四种常见漏洞利用语句包括但不限于：控制return值、URL路径可控、特定注解（如@ResponseBody或@RestController）以及视图控制方法的返回类型。

       通过测试，攻击者能够通过这些方式引发漏洞。在实际编程中，要格外注意避免这类漏洞。

       总结

       后续文章将深入探讨不同版本漏洞的测试语句及绕过方法。我的公众号“希潭实验室”将持续分享网络安全技术，包括APT分析、渗透测试等内容，欢迎关注。如有任何问题，可通过邮件联系我：0dayabc#gmail.com（请将#替换为@）。