ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。
国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。
漏洞编号：CNVD-2024-44822、CVE-2024-44818
影响产品：ZZCMS 2023
漏洞级别：中
公布时间：2024-11-14
漏洞描述：ZZCMS的 ask\caina.php 文件未对 HTTP_Referer 参数进行安全过滤，导致存在跨站脚本漏洞，不法分子可利用该漏洞注入执行任意Web脚本或HTML，可获取敏感信息或劫持用户会话。
（图一：未对HTTP_REFERER进行安全过滤）
解决办法：
目前厂商已经发布修复补丁，补丁详情：https://www.cnvd.org.cn/patchInfo/show/618131
另外你也可以使用『护卫神·防入侵系统』的SQL注入防护模块来解决该漏洞问题，该模块除了防SQL注入，还可以防跨站脚本漏洞。不止对该漏洞有效，对所有SQL注入和跨脚本漏洞都可以防护。
1、SQL注入防护和XSS跨站攻击防护
『护卫神·防入侵系统』自带的SQL注入防护模块（如图二）除了拦截SQL注入，还可以拦截xss跨站脚本，一并解决ZZCMS的其他安全漏洞，拦截效果如图四。
温馨提醒：由于是HTTP_Referer出现的跨站脚本漏洞，因此请务必开启“HEADER防注入”模块！
（图二：SQL注入防护模块）
（图三：XSS跨站脚本攻击防护）
（图四：SQL注入拦截效果）
2、防篡改保护
如果对安全要求较高，还可以使用『护卫神·防入侵系统』系统的“篡改防护”模块，对ZZCMS做防篡改保护。
在“篡改防护-添加CMS防护”（如图五）。选择网站目录，安全模板选择“ZZCMS安全模板”，并填写正确的后台地址，点击“确定”按钮，就添加好了。
护卫神.防入侵系统内置有ZZCMS的篡改防护规则，只需简单设置即可解决，非常方便！
（图五：添加ZZCMS防篡改规则）
设置好以后，防入侵系统就会对后台进行保护，后期访问时需要先验证授权密码（如图六），只有输入了正确的密码才能访问。
（图六：访问后台需要输入授权密码）
原文：漏洞文献：ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
相关文章：
ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。 国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。 漏洞编号：…...
Android 15 前台服务类型的变更
在 Android 15 中对前台服务类型做出以下更改。 仍在处理中的媒体内容 要在其清单中声明的前台服务类型 android:foregroundServiceType mediaProcessing在清单中声明的权限 FOREGROUND_SERVICE_MEDIA_PROCESSING要传递给 startForeground() 的常量 FOREGROUND_SERVICE_TYPE_ME…...
微信小程序开发简易教程
微信小程序文件结构详解 1. 项目配置文件 project.config.json 项目的配置文件包含项目名称、appid、编译选项等配置示例： {"description": "项目配置文件","packOptions": {"ignore": []},"setting": {&quo…...
树莓派 发那科 Fanuc Linux跨平台CNC数控数据采集协议，TCP协议包
市面上的数控基本都支持了跨平台通讯，下面以发那科为列讲解跨平台协议如何通讯，无需任何DLL，适配任何开发语言，纯Socket通讯 先上采集图 握手包：a0 a0 a0 a0 00 01 01 01 00 02 00 02 释放包：a0 a0 a0 a…...
Ubuntu中安装配置交叉编译工具并进行测试
01-下载获取交叉编译工具的源码 按照博文 https://blog.csdn.net/wenhao_ir/article/details/144325141的方法，把imx6ull的BSP下载好后，其中就有交叉编译工具。 当然，为了将来使用方便，我已经把它压缩并传到了百度网盘ÿ…...
C++核心day3作业
作业： 1.整理思维导图 2.整理课上代码 3.把课上类的三个练习题的构造函数写出来 函数全部类内声明，类外定义 定义一个矩形类Rec，包含私有属性length、width，包含公有成员方法： void set_length(int l); //设置长度v…...
socket UDP 环路回显的服务端
基于socket通讯的方式，无论用http或者udp或者自定义的协议，程序结构都是类似的。这个以UDP协议为例简要说明。 #include <stdio.h> // 标准输入输出库 #include <sys/types.h> // 提供了一些数据类型，如ssize_t #include <sy…...
springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码
基于springboot(可改ssm)htmlvue项目 springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码 开发语言：Java 框架：springboot/可改ssm vue JDK版本：JDK1.8（或11） 服务器：tomcat 数据库&…...
5G模组AT命令脚本-关闭模组的IP过滤功能
关闭模组的IP过滤功能 关闭模组的IP过滤功能 5G 模组通常使用nat方式为 下挂设备或上位机提供上网服务，默认情况，不做NAt的包无法经由 模组转发，如果禁掉这个限制 ，可使用本文中的配置命令本脚本用于关闭模组的IP过滤功能…...
)
STM32:实现ping命令(lwip)
目录 0.协议介绍ICMP数据包格式ping指令发送的ICMP回声请求消息ping指令接收的ICMP回声应答消息1.实现步骤2.源码分析2.1 初始化函数2.2 发送函数2.3 回调函数2.3.1 函数定义：2.3.2 解析数据包：2.3.3.处理ICMP数据包：2.3.4 资源释放：2.3.5 返回值：3.源码展示4.源码链接5.问…...
nvm安装指定版本显示不存在及nvm ls-remote 列表只出现 iojs 而没有 node.js 解决办法
在使用 nvm install 18.20.3 安装 node 时会发现一直显示不存在此版本 Version 18.20.3 not found - try nvm ls-remote to browse available versions.使用 nvm ls-remote 查看可安装列表时发现，列表中只有 iojs 解决方法： 可以使用以下命令查看可安装…...
Spring Boot 中 WebClient 的实践详解
在现代微服务架构中，服务之间的通信至关重要。Spring Boot 提供了 WebClient，作为 RestTemplate 的替代方案，用于执行非阻塞式的 HTTP 请求。本文将详细讲解 WebClient 的实践，包括配置、使用场景以及常见的优化策略，帮…...
在GITHUB上传本地文件指南（详细图文版）
这份笔记简述了如何在GITHUB上上传文件夹的详细策略。 既是对自己未来的一个参考，又希望能给各位读者带来帮助。 详细步骤 打开目标文件夹（想要上传的文件夹） 右击点击git bash打开 GitHub创立新的仓库后，点击右上方CODE绿色按…...
【大模型系列篇】LLaMA-Factory大模型微调实践 - 从零开始
前一次我们使用了NVIDIA TensorRT-LLM 大模型推理框架对智谱chatglm3-6b模型格式进行了转换和量化压缩，并成功部署了推理服务，有兴趣的同学可以翻阅《NVIDIA TensorRT-LLM 大模型推理框架实践》，今天我们来实践如何通过LLaMA-Factory对大模型…...
30天学会Go--第7天 GO语言 Redis 学习与实践
30天学会Go–第7天 GO语言 Redis 学习与实践 文章目录 30天学会Go--第7天 GO语言 Redis 学习与实践前言一、Redis 基础知识1.1 Redis 的核心特性1.2 Redis 常见使用场景 二、安装 Redis2.1 在 Linux 上安装2.2 在 Windows 上安装2.3 使用 Docker 安装 Redis 三、Redis 常用命令…...
java 使用JSqlParser和CCJSqlParser 解析sql
maven <dependency><groupId>com.github.jsqlparser</groupId><artifactId>jsqlparser</artifactId><version>4.9</version> </dependency>解析SQL String sql "select aa,bb from b"; Statement statementCCJSq…...
基于spring boot的高校专业实习管理系统的设计与实现
文末获取源码和万字论文，制作不易，感谢点赞支持。 设计题目：基于spring boot的高校专业实习管理系统的设计与实现 摘 要 随着国内市场经济这几十年来的蓬勃发展，突然遇到了从国外传入国内的互联网技术，互联网产业从开…...
机器人世界手眼标定函数calibrateRobotWorldHandEye()的使用)
OpenCV相机标定与3D重建(11)机器人世界手眼标定函数calibrateRobotWorldHandEye()的使用
操作系统：ubuntu22.04 OpenCV版本：OpenCV4.9 IDE:Visual Studio Code 编程语言：C11 算法描述 计算机器人世界/手眼标定： w T b _{}^{w}\textrm{T}_b wTb 和 c T g _{}^{c}\textrm{T}_g cTg。 cv::calibrateRobotWorldHa…...
计算机网络ENSP课设--三层架构企业网络
本课程设计搭建一个小型互联网，并模拟Internet的典型Web服务过程。通过此次课程设计，可以进一步理解Internet的工作原理和协议过程，并提高综合知识的运用能力和分析能力。具体目标包括： （1）掌握网络拓扑的…...
【openwrt】openwrt-21.02 基于IP地址使用ipset实现策略路由操作说明
openwrt版本信息 DISTRIB_ID=OpenWrt DISTRIB_RELEASE=21.02-SNAPSHOT DISTRIB_REVISION=r0-6bf6af1d5 DISTRIB_TARGET=mediatek/mt7981 DISTRIB_ARCH=aarch64_cortex-a53 DISTRIB_DESCRIPTION=OpenWrt 21.02-SNAPSHOT r0-6bf6af1d5 DISTRIB_TAINTS=no-all busybox override …...
conda相比python好处
Conda 作为 Python 的环境和包管理工具，相比原生 Python 生态（如 pip 虚拟环境）有许多独特优势，尤其在多项目管理、依赖处理和跨平台兼容性等方面表现更优。以下是 Conda 的核心好处： 一、一站式环境管理：…...
Spring Boot 实现流式响应（兼容 2.7.x）
在实际开发中，我们可能会遇到一些流式数据处理的场景，比如接收来自上游接口的 Server-Sent Events（SSE） 或 流式 JSON 内容，并将其原样中转给前端页面或客户端。这种情况下，传统的 RestTemplate 缓存机制会…...
以下是对华为 HarmonyOS NETX 5属性动画（ArkTS）文档的结构化整理，通过层级标题、表格和代码块提升可读性：
一、属性动画概述NETX 作用：实现组件通用属性的渐变过渡效果，提升用户体验。支持属性：width、height、backgroundColor、opacity、scale、rotate、translate等。注意事项： 布局类属性（如宽高）变化时&#…...
如何为服务器生成TLS证书
TLS（Transport Layer Security）证书是确保网络通信安全的重要手段，它通过加密技术保护传输的数据不被窃听和篡改。在服务器上配置TLS证书，可以使用户通过HTTPS协议安全地访问您的网站。本文将详细介绍如何在服务器上生成一个TLS证…...
TRS收益互换：跨境资本流动的金融创新工具与系统化解决方案
一、TRS收益互换的本质与业务逻辑 （一）概念解析 TRS（Total Return Swap）收益互换是一种金融衍生工具，指交易双方约定在未来一定期限内，基于特定资产或指数的表现进行现金流交换的协议。其核心特征包括&am…...
Caliper 配置文件解析：config.yaml
Caliper 是一个区块链性能基准测试工具，用于评估不同区块链平台的性能。下面我将详细解释你提供的 fisco-bcos.json 文件结构，并说明它与 config.yaml 文件的关系。 fisco-bcos.json 文件解析 这个文件是针对 FISCO-BCOS 区块链网络的 Caliper 配置文件，主要包含以下几个部…...
CMake控制VS2022项目文件分组
我们可以通过 CMake 控制源文件的组织结构，使它们在 VS 解决方案资源管理器中以“组”（Filter）的形式进行分类展示。 🎯 目标 通过 CMake 脚本将 .cpp、.h 等源文件分组显示在 Visual Studio 2022 的解决方案资源管理器中。 ✅ 支持的方法汇总（共4种） 方法描述是否推荐…...
使用Matplotlib创建炫酷的3D散点图：数据可视化的新维度
文章目录 基础实现代码代码解析进阶技巧1. 自定义点的大小和颜色2. 添加图例和样式美化3. 真实数据应用示例实用技巧与注意事项完整示例（带样式）应用场景在数据科学和可视化领域，三维图形能为我们提供更丰富的数据洞察。本文将手把手教你如何使用Python的Matplotlib库创建引…...
华为OD机考-机房布局
import java.util.*;public class DemoTest5 {public static void main(String[] args) {Scanner in new Scanner(System.in);// 注意 hasNext 和 hasNextLine 的区别while (in.hasNextLine()) { // 注意 while 处理多个 caseSystem.out.println(solve(in.nextLine()));}}priv…...
深度学习之模型压缩三驾马车：模型剪枝、模型量化、知识蒸馏
一、引言 在深度学习中，我们训练出的神经网络往往非常庞大（比如像 ResNet、YOLOv8、Vision Transformer），虽然精度很高，但“太重”了，运行起来很慢，占用内存大，不适合部署到手机、摄…...