ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。
国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。
漏洞编号：CNVD-2024-44822、CVE-2024-44818
影响产品：ZZCMS 2023
漏洞级别：中
公布时间：2024-11-14
漏洞描述：ZZCMS的 ask\caina.php 文件未对 HTTP_Referer 参数进行安全过滤，导致存在跨站脚本漏洞，不法分子可利用该漏洞注入执行任意Web脚本或HTML，可获取敏感信息或劫持用户会话。
（图一：未对HTTP_REFERER进行安全过滤）
解决办法：
目前厂商已经发布修复补丁，补丁详情：https://www.cnvd.org.cn/patchInfo/show/618131
另外你也可以使用『护卫神·防入侵系统』的SQL注入防护模块来解决该漏洞问题，该模块除了防SQL注入，还可以防跨站脚本漏洞。不止对该漏洞有效，对所有SQL注入和跨脚本漏洞都可以防护。
1、SQL注入防护和XSS跨站攻击防护
『护卫神·防入侵系统』自带的SQL注入防护模块（如图二）除了拦截SQL注入，还可以拦截xss跨站脚本，一并解决ZZCMS的其他安全漏洞，拦截效果如图四。
温馨提醒：由于是HTTP_Referer出现的跨站脚本漏洞，因此请务必开启“HEADER防注入”模块！
（图二：SQL注入防护模块）
（图三：XSS跨站脚本攻击防护）
（图四：SQL注入拦截效果）
2、防篡改保护
如果对安全要求较高，还可以使用『护卫神·防入侵系统』系统的“篡改防护”模块，对ZZCMS做防篡改保护。
在“篡改防护-添加CMS防护”（如图五）。选择网站目录，安全模板选择“ZZCMS安全模板”，并填写正确的后台地址，点击“确定”按钮，就添加好了。
护卫神.防入侵系统内置有ZZCMS的篡改防护规则，只需简单设置即可解决，非常方便！
（图五：添加ZZCMS防篡改规则）
设置好以后，防入侵系统就会对后台进行保护，后期访问时需要先验证授权密码（如图六），只有输入了正确的密码才能访问。
（图六：访问后台需要输入授权密码）
原文：漏洞文献：ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
相关文章：
ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。 国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。 漏洞编号：…...
Android 15 前台服务类型的变更
在 Android 15 中对前台服务类型做出以下更改。 仍在处理中的媒体内容 要在其清单中声明的前台服务类型 android:foregroundServiceType mediaProcessing在清单中声明的权限 FOREGROUND_SERVICE_MEDIA_PROCESSING要传递给 startForeground() 的常量 FOREGROUND_SERVICE_TYPE_ME…...
微信小程序开发简易教程
微信小程序文件结构详解 1. 项目配置文件 project.config.json 项目的配置文件包含项目名称、appid、编译选项等配置示例： {"description": "项目配置文件","packOptions": {"ignore": []},"setting": {&quo…...
树莓派 发那科 Fanuc Linux跨平台CNC数控数据采集协议，TCP协议包
市面上的数控基本都支持了跨平台通讯，下面以发那科为列讲解跨平台协议如何通讯，无需任何DLL，适配任何开发语言，纯Socket通讯 先上采集图 握手包：a0 a0 a0 a0 00 01 01 01 00 02 00 02 释放包：a0 a0 a0 a…...
Ubuntu中安装配置交叉编译工具并进行测试
01-下载获取交叉编译工具的源码 按照博文 https://blog.csdn.net/wenhao_ir/article/details/144325141的方法，把imx6ull的BSP下载好后，其中就有交叉编译工具。 当然，为了将来使用方便，我已经把它压缩并传到了百度网盘ÿ…...
C++核心day3作业
作业： 1.整理思维导图 2.整理课上代码 3.把课上类的三个练习题的构造函数写出来 函数全部类内声明，类外定义 定义一个矩形类Rec，包含私有属性length、width，包含公有成员方法： void set_length(int l); //设置长度v…...
socket UDP 环路回显的服务端
基于socket通讯的方式，无论用http或者udp或者自定义的协议，程序结构都是类似的。这个以UDP协议为例简要说明。 #include <stdio.h> // 标准输入输出库 #include <sys/types.h> // 提供了一些数据类型，如ssize_t #include <sy…...
springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码
基于springboot(可改ssm)htmlvue项目 springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码 开发语言：Java 框架：springboot/可改ssm vue JDK版本：JDK1.8（或11） 服务器：tomcat 数据库&…...
5G模组AT命令脚本-关闭模组的IP过滤功能
关闭模组的IP过滤功能 关闭模组的IP过滤功能 5G 模组通常使用nat方式为 下挂设备或上位机提供上网服务，默认情况，不做NAt的包无法经由 模组转发，如果禁掉这个限制 ，可使用本文中的配置命令本脚本用于关闭模组的IP过滤功能…...
)
STM32:实现ping命令(lwip)
目录 0.协议介绍ICMP数据包格式ping指令发送的ICMP回声请求消息ping指令接收的ICMP回声应答消息1.实现步骤2.源码分析2.1 初始化函数2.2 发送函数2.3 回调函数2.3.1 函数定义：2.3.2 解析数据包：2.3.3.处理ICMP数据包：2.3.4 资源释放：2.3.5 返回值：3.源码展示4.源码链接5.问…...
nvm安装指定版本显示不存在及nvm ls-remote 列表只出现 iojs 而没有 node.js 解决办法
在使用 nvm install 18.20.3 安装 node 时会发现一直显示不存在此版本 Version 18.20.3 not found - try nvm ls-remote to browse available versions.使用 nvm ls-remote 查看可安装列表时发现，列表中只有 iojs 解决方法： 可以使用以下命令查看可安装…...
Spring Boot 中 WebClient 的实践详解
在现代微服务架构中，服务之间的通信至关重要。Spring Boot 提供了 WebClient，作为 RestTemplate 的替代方案，用于执行非阻塞式的 HTTP 请求。本文将详细讲解 WebClient 的实践，包括配置、使用场景以及常见的优化策略，帮…...
在GITHUB上传本地文件指南（详细图文版）
这份笔记简述了如何在GITHUB上上传文件夹的详细策略。 既是对自己未来的一个参考，又希望能给各位读者带来帮助。 详细步骤 打开目标文件夹（想要上传的文件夹） 右击点击git bash打开 GitHub创立新的仓库后，点击右上方CODE绿色按…...
【大模型系列篇】LLaMA-Factory大模型微调实践 - 从零开始
前一次我们使用了NVIDIA TensorRT-LLM 大模型推理框架对智谱chatglm3-6b模型格式进行了转换和量化压缩，并成功部署了推理服务，有兴趣的同学可以翻阅《NVIDIA TensorRT-LLM 大模型推理框架实践》，今天我们来实践如何通过LLaMA-Factory对大模型…...
30天学会Go--第7天 GO语言 Redis 学习与实践
30天学会Go–第7天 GO语言 Redis 学习与实践 文章目录 30天学会Go--第7天 GO语言 Redis 学习与实践前言一、Redis 基础知识1.1 Redis 的核心特性1.2 Redis 常见使用场景 二、安装 Redis2.1 在 Linux 上安装2.2 在 Windows 上安装2.3 使用 Docker 安装 Redis 三、Redis 常用命令…...
java 使用JSqlParser和CCJSqlParser 解析sql
maven <dependency><groupId>com.github.jsqlparser</groupId><artifactId>jsqlparser</artifactId><version>4.9</version> </dependency>解析SQL String sql "select aa,bb from b"; Statement statementCCJSq…...
基于spring boot的高校专业实习管理系统的设计与实现
文末获取源码和万字论文，制作不易，感谢点赞支持。 设计题目：基于spring boot的高校专业实习管理系统的设计与实现 摘 要 随着国内市场经济这几十年来的蓬勃发展，突然遇到了从国外传入国内的互联网技术，互联网产业从开…...
机器人世界手眼标定函数calibrateRobotWorldHandEye()的使用)
OpenCV相机标定与3D重建(11)机器人世界手眼标定函数calibrateRobotWorldHandEye()的使用
操作系统：ubuntu22.04 OpenCV版本：OpenCV4.9 IDE:Visual Studio Code 编程语言：C11 算法描述 计算机器人世界/手眼标定： w T b _{}^{w}\textrm{T}_b wTb 和 c T g _{}^{c}\textrm{T}_g cTg。 cv::calibrateRobotWorldHa…...
计算机网络ENSP课设--三层架构企业网络
本课程设计搭建一个小型互联网，并模拟Internet的典型Web服务过程。通过此次课程设计，可以进一步理解Internet的工作原理和协议过程，并提高综合知识的运用能力和分析能力。具体目标包括： （1）掌握网络拓扑的…...
【openwrt】openwrt-21.02 基于IP地址使用ipset实现策略路由操作说明
openwrt版本信息 DISTRIB_ID=OpenWrt DISTRIB_RELEASE=21.02-SNAPSHOT DISTRIB_REVISION=r0-6bf6af1d5 DISTRIB_TARGET=mediatek/mt7981 DISTRIB_ARCH=aarch64_cortex-a53 DISTRIB_DESCRIPTION=OpenWrt 21.02-SNAPSHOT r0-6bf6af1d5 DISTRIB_TAINTS=no-all busybox override …...
Leetcode 3577. Count the Number of Computer Unlocking Permutations
Leetcode 3577. Count the Number of Computer Unlocking Permutations 1. 解题思路2. 代码实现 题目链接：3577. Count the Number of Computer Unlocking Permutations 1. 解题思路 这一题其实就是一个脑筋急转弯，要想要能够将所有的电脑解锁&#x…...
将对透视变换后的图像使用Otsu进行阈值化，来分离黑色和白色像素。这句话中的Otsu是什么意思？
Otsu 是一种自动阈值化方法，用于将图像分割为前景和背景。它通过最小化图像的类内方差或等价地最大化类间方差来选择最佳阈值。这种方法特别适用于图像的二值化处理，能够自动确定一个阈值，将图像中的像素分为黑色和白色两类。 Otsu 方法的原…...
多模态大语言模型arxiv论文略读（108）
CROME: Cross-Modal Adapters for Efficient Multimodal LLM ➡️ 论文标题：CROME: Cross-Modal Adapters for Efficient Multimodal LLM ➡️ 论文作者：Sayna Ebrahimi, Sercan O. Arik, Tejas Nama, Tomas Pfister ➡️ 研究机构: Google Cloud AI Re…...
【C++从零实现Json-Rpc框架】第六弹 —— 服务端模块划分
一、项目背景回顾 前五弹完成了Json-Rpc协议解析、请求处理、客户端调用等基础模块搭建。 本弹重点聚焦于服务端的模块划分与架构设计，提升代码结构的可维护性与扩展性。 二、服务端模块设计目标 高内聚低耦合：各模块职责清晰，便于独立开发…...
以光量子为例，详解量子获取方式
光量子技术获取量子比特可在室温下进行。该方式有望通过与名为硅光子学（silicon photonics）的光波导（optical waveguide）芯片制造技术和光纤等光通信技术相结合来实现量子计算机。量子力学中，光既是波又是粒子。光子本…...
Java + Spring Boot + Mybatis 实现批量插入
在 Java 中使用 Spring Boot 和 MyBatis 实现批量插入可以通过以下步骤完成。这里提供两种常用方法：使用 MyBatis 的 <foreach> 标签和批处理模式（ExecutorType.BATCH）。 方法一：使用 XML 的 <foreach> 标签ÿ…...
人工智能（大型语言模型 LLMs）对不同学科的影响以及由此产生的新学习方式
今天是关于AI如何在教学中增强学生的学习体验，我把重要信息标红了。人文学科的价值被低估了 ⬇️ 转型与必要性 人工智能正在深刻地改变教育，这并非炒作，而是已经发生的巨大变革。教育机构和教育者不能忽视它，试图简单地禁止学生使…...
R 语言科研绘图第 55 期 --- 网络图-聚类
在发表科研论文的过程中，科研绘图是必不可少的，一张好看的图形会是文章很大的加分项。 为了便于使用，本系列文章介绍的所有绘图都已收录到了 sciRplot 项目中，获取方式： R 语言科研绘图模板 --- sciRplothttps://mp.…...
redis和redission的区别
Redis 和 Redisson 是两个密切相关但又本质不同的技术，它们扮演着完全不同的角色： Redis: 内存数据库/数据结构存储 本质： 它是一个开源的、高性能的、基于内存的 键值存储数据库。它也可以将数据持久化到磁盘。 核心功能： 提供丰…...
【Post-process】【VBA】ETABS VBA FrameObj.GetNameList and write to EXCEL
ETABS API实战：导出框架元素数据到Excel 在结构工程师的日常工作中，经常需要从ETABS模型中提取框架元素信息进行后续分析。手动复制粘贴不仅耗时，还容易出错。今天我们来用简单的VBA代码实现自动化导出。 🎯 我们要实现什么？ 一键点击，就能将ETABS中所有框架元素的基…...