用途：面向Apache OFBiz（开源ERP系统）的漏洞利用与检测技能，服务安全测试与漏洞验证场景。默认端口8443/HTTPS、8080/HTTP，技术栈为Java、Groovy、XML-RPC。
主要能力：覆盖已知高危漏洞。CVE-2023-49070（<=18.12.09）为XML-RPC反序列化RCE，需ysoserial且出网；CVE-2023-51467（<=18.12.10）为认证绕过；CVE-2024-32113（<18.12.14）为路径遍历加Groovy RCE；CVE-2024-38856（<18.12.15）为Groovy表达式注入RCE，均无需认证，危害为Critical。
识别与检测：访问 /webtools/control/ping 返回“PONG”即可确认，另有FOFA语法 app="Apache_OFBiz"。存活检测使用 GET /webtools/control/ping?USERNAME=&PASSWORD=&requirePasswordChange=Y。
利用策略：优先尝试CVE-2024-38856，端点为 /webtools/control/main/ProgramExport（POST）；失败后尝试CVE-2024-32113，端点 /webtools/control/forgotPassword;/ProgramExport（POST）；最后为CVE-2023-49070，端点 /webtools/control/xmlrpc/（POST）。认证绕过参数为 ?USERNAME=&PASSWORD=&requirePasswordChange=Y。
适用场景：授权范围内的渗透测试、漏洞复现与安全评估。限制：需按目标版本选择利用链；CVE-2023-49070依赖ysoserial与出网条件；资料未提供具体命令行参数、完整payload、收费与平台信息。任何测试须获得合法授权。