ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。
国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。
漏洞编号：CNVD-2024-44822、CVE-2024-44818
影响产品：ZZCMS 2023
漏洞级别：中
公布时间：2024-11-14
漏洞描述：ZZCMS的 ask\caina.php 文件未对 HTTP_Referer 参数进行安全过滤，导致存在跨站脚本漏洞，不法分子可利用该漏洞注入执行任意Web脚本或HTML，可获取敏感信息或劫持用户会话。
（图一：未对HTTP_REFERER进行安全过滤）
解决办法：
目前厂商已经发布修复补丁，补丁详情：https://www.cnvd.org.cn/patchInfo/show/618131
另外你也可以使用『护卫神·防入侵系统』的SQL注入防护模块来解决该漏洞问题，该模块除了防SQL注入，还可以防跨站脚本漏洞。不止对该漏洞有效，对所有SQL注入和跨脚本漏洞都可以防护。
1、SQL注入防护和XSS跨站攻击防护
『护卫神·防入侵系统』自带的SQL注入防护模块（如图二）除了拦截SQL注入，还可以拦截xss跨站脚本，一并解决ZZCMS的其他安全漏洞，拦截效果如图四。
温馨提醒：由于是HTTP_Referer出现的跨站脚本漏洞，因此请务必开启“HEADER防注入”模块！
（图二：SQL注入防护模块）
（图三：XSS跨站脚本攻击防护）
（图四：SQL注入拦截效果）
2、防篡改保护
如果对安全要求较高，还可以使用『护卫神·防入侵系统』系统的“篡改防护”模块，对ZZCMS做防篡改保护。
在“篡改防护-添加CMS防护”（如图五）。选择网站目录，安全模板选择“ZZCMS安全模板”，并填写正确的后台地址，点击“确定”按钮，就添加好了。
护卫神.防入侵系统内置有ZZCMS的篡改防护规则，只需简单设置即可解决，非常方便！
（图五：添加ZZCMS防篡改规则）
设置好以后，防入侵系统就会对后台进行保护，后期访问时需要先验证授权密码（如图六），只有输入了正确的密码才能访问。
（图六：访问后台需要输入授权密码）
原文：漏洞文献：ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
相关文章：
ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）
ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。 国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。 漏洞编号：…...
Android 15 前台服务类型的变更
在 Android 15 中对前台服务类型做出以下更改。 仍在处理中的媒体内容 要在其清单中声明的前台服务类型 android:foregroundServiceType mediaProcessing在清单中声明的权限 FOREGROUND_SERVICE_MEDIA_PROCESSING要传递给 startForeground() 的常量 FOREGROUND_SERVICE_TYPE_ME…...
微信小程序开发简易教程
微信小程序文件结构详解 1. 项目配置文件 project.config.json 项目的配置文件包含项目名称、appid、编译选项等配置示例： {"description": "项目配置文件","packOptions": {"ignore": []},"setting": {&quo…...
树莓派 发那科 Fanuc Linux跨平台CNC数控数据采集协议，TCP协议包
市面上的数控基本都支持了跨平台通讯，下面以发那科为列讲解跨平台协议如何通讯，无需任何DLL，适配任何开发语言，纯Socket通讯 先上采集图 握手包：a0 a0 a0 a0 00 01 01 01 00 02 00 02 释放包：a0 a0 a0 a…...
Ubuntu中安装配置交叉编译工具并进行测试
01-下载获取交叉编译工具的源码 按照博文 https://blog.csdn.net/wenhao_ir/article/details/144325141的方法，把imx6ull的BSP下载好后，其中就有交叉编译工具。 当然，为了将来使用方便，我已经把它压缩并传到了百度网盘ÿ…...
C++核心day3作业
作业： 1.整理思维导图 2.整理课上代码 3.把课上类的三个练习题的构造函数写出来 函数全部类内声明，类外定义 定义一个矩形类Rec，包含私有属性length、width，包含公有成员方法： void set_length(int l); //设置长度v…...
socket UDP 环路回显的服务端
基于socket通讯的方式，无论用http或者udp或者自定义的协议，程序结构都是类似的。这个以UDP协议为例简要说明。 #include <stdio.h> // 标准输入输出库 #include <sys/types.h> // 提供了一些数据类型，如ssize_t #include <sy…...
springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码
基于springboot(可改ssm)htmlvue项目 springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码 开发语言：Java 框架：springboot/可改ssm vue JDK版本：JDK1.8（或11） 服务器：tomcat 数据库&…...
5G模组AT命令脚本-关闭模组的IP过滤功能
关闭模组的IP过滤功能 关闭模组的IP过滤功能 5G 模组通常使用nat方式为 下挂设备或上位机提供上网服务，默认情况，不做NAt的包无法经由 模组转发，如果禁掉这个限制 ，可使用本文中的配置命令本脚本用于关闭模组的IP过滤功能…...
)
STM32:实现ping命令(lwip)
目录 0.协议介绍ICMP数据包格式ping指令发送的ICMP回声请求消息ping指令接收的ICMP回声应答消息1.实现步骤2.源码分析2.1 初始化函数2.2 发送函数2.3 回调函数2.3.1 函数定义：2.3.2 解析数据包：2.3.3.处理ICMP数据包：2.3.4 资源释放：2.3.5 返回值：3.源码展示4.源码链接5.问…...
nvm安装指定版本显示不存在及nvm ls-remote 列表只出现 iojs 而没有 node.js 解决办法
在使用 nvm install 18.20.3 安装 node 时会发现一直显示不存在此版本 Version 18.20.3 not found - try nvm ls-remote to browse available versions.使用 nvm ls-remote 查看可安装列表时发现，列表中只有 iojs 解决方法： 可以使用以下命令查看可安装…...
Spring Boot 中 WebClient 的实践详解
在现代微服务架构中，服务之间的通信至关重要。Spring Boot 提供了 WebClient，作为 RestTemplate 的替代方案，用于执行非阻塞式的 HTTP 请求。本文将详细讲解 WebClient 的实践，包括配置、使用场景以及常见的优化策略，帮…...
在GITHUB上传本地文件指南（详细图文版）
这份笔记简述了如何在GITHUB上上传文件夹的详细策略。 既是对自己未来的一个参考，又希望能给各位读者带来帮助。 详细步骤 打开目标文件夹（想要上传的文件夹） 右击点击git bash打开 GitHub创立新的仓库后，点击右上方CODE绿色按…...
【大模型系列篇】LLaMA-Factory大模型微调实践 - 从零开始
前一次我们使用了NVIDIA TensorRT-LLM 大模型推理框架对智谱chatglm3-6b模型格式进行了转换和量化压缩，并成功部署了推理服务，有兴趣的同学可以翻阅《NVIDIA TensorRT-LLM 大模型推理框架实践》，今天我们来实践如何通过LLaMA-Factory对大模型…...
30天学会Go--第7天 GO语言 Redis 学习与实践
30天学会Go–第7天 GO语言 Redis 学习与实践 文章目录 30天学会Go--第7天 GO语言 Redis 学习与实践前言一、Redis 基础知识1.1 Redis 的核心特性1.2 Redis 常见使用场景 二、安装 Redis2.1 在 Linux 上安装2.2 在 Windows 上安装2.3 使用 Docker 安装 Redis 三、Redis 常用命令…...
java 使用JSqlParser和CCJSqlParser 解析sql
maven <dependency><groupId>com.github.jsqlparser</groupId><artifactId>jsqlparser</artifactId><version>4.9</version> </dependency>解析SQL String sql "select aa,bb from b"; Statement statementCCJSq…...
基于spring boot的高校专业实习管理系统的设计与实现
文末获取源码和万字论文，制作不易，感谢点赞支持。 设计题目：基于spring boot的高校专业实习管理系统的设计与实现 摘 要 随着国内市场经济这几十年来的蓬勃发展，突然遇到了从国外传入国内的互联网技术，互联网产业从开…...
机器人世界手眼标定函数calibrateRobotWorldHandEye()的使用)
OpenCV相机标定与3D重建(11)机器人世界手眼标定函数calibrateRobotWorldHandEye()的使用
操作系统：ubuntu22.04 OpenCV版本：OpenCV4.9 IDE:Visual Studio Code 编程语言：C11 算法描述 计算机器人世界/手眼标定： w T b _{}^{w}\textrm{T}_b wTb 和 c T g _{}^{c}\textrm{T}_g cTg。 cv::calibrateRobotWorldHa…...
计算机网络ENSP课设--三层架构企业网络
本课程设计搭建一个小型互联网，并模拟Internet的典型Web服务过程。通过此次课程设计，可以进一步理解Internet的工作原理和协议过程，并提高综合知识的运用能力和分析能力。具体目标包括： （1）掌握网络拓扑的…...
【openwrt】openwrt-21.02 基于IP地址使用ipset实现策略路由操作说明
openwrt版本信息 DISTRIB_ID=OpenWrt DISTRIB_RELEASE=21.02-SNAPSHOT DISTRIB_REVISION=r0-6bf6af1d5 DISTRIB_TARGET=mediatek/mt7981 DISTRIB_ARCH=aarch64_cortex-a53 DISTRIB_DESCRIPTION=OpenWrt 21.02-SNAPSHOT r0-6bf6af1d5 DISTRIB_TAINTS=no-all busybox override …...
谷歌浏览器插件
项目中有时候会用到插件 sync-cookie-extension1.0.0：开发环境同步测试 cookie 至 localhost，便于本地请求服务携带 cookie 参考地址：https://juejin.cn/post/7139354571712757767 里面有源码下载下来，加在到扩展即可使用FeHelp…...
MMaDA: Multimodal Large Diffusion Language Models
CODE ： https://github.com/Gen-Verse/MMaDA Abstract 我们介绍了一种新型的多模态扩散基础模型MMaDA，它被设计用于在文本推理、多模态理解和文本到图像生成等不同领域实现卓越的性能。该方法的特点是三个关键创新:(i) MMaDA采用统一的扩散架构…...
【git】把本地更改提交远程新分支feature_g
创建并切换新分支 git checkout -b feature_g 添加并提交更改 git add . git commit -m “实现图片上传功能” 推送到远程 git push -u origin feature_g...
HTML前端开发：JavaScript 常用事件详解
作为前端开发的核心，JavaScript 事件是用户与网页交互的基础。以下是常见事件的详细说明和用法示例： 1. onclick - 点击事件 当元素被单击时触发（左键点击） button.onclick function() {alert("按钮被点击了！&…...
MySQL中【正则表达式】用法
MySQL 中正则表达式通过 REGEXP 或 RLIKE 操作符实现（两者等价），用于在 WHERE 子句中进行复杂的字符串模式匹配。以下是核心用法和示例： 一、基础语法 SELECT column_name FROM table_name WHERE column_name REGEXP pattern; …...
Linux C语言网络编程详细入门教程：如何一步步实现TCP服务端与客户端通信
文章目录 Linux C语言网络编程详细入门教程：如何一步步实现TCP服务端与客户端通信前言一、网络通信基础概念二、服务端与客户端的完整流程图解三、每一步的详细讲解和代码示例1. 创建Socket（服务端和客户端都要）2. 绑定本地地址和端口&#x…...
Aspose.PDF 限制绕过方案：Java 字节码技术实战分享（仅供学习）
Aspose.PDF 限制绕过方案：Java 字节码技术实战分享（仅供学习） 一、Aspose.PDF 简介二、说明（⚠️仅供学习与研究使用）三、技术流程总览四、准备工作1. 下载 Jar 包2. Maven 项目依赖配置 五、字节码修改实现代码&#…...
无人机侦测与反制技术的进展与应用
国家电网无人机侦测与反制技术的进展与应用 引言 随着无人机（无人驾驶飞行器，UAV）技术的快速发展，其在商业、娱乐和军事领域的广泛应用带来了新的安全挑战。特别是对于关键基础设施如电力系统，无人机的“黑飞”&…...
详细解析)
Caliper 负载(Workload)详细解析
Caliper 负载(Workload)详细解析 负载(Workload)是 Caliper 性能测试的核心部分，它定义了测试期间要执行的具体合约调用行为和交易模式。下面我将全面深入地讲解负载的各个方面。 一、负载模块基本结构 一个典型的负载模块(如 workload.js)包含以下基本结构： use strict;/…...
深入理解Optional：处理空指针异常
1. 使用Optional处理可能为空的集合 在Java开发中，集合判空是一个常见但容易出错的场景。传统方式虽然可行，但存在一些潜在问题： // 传统判空方式 if (!CollectionUtils.isEmpty(userInfoList)) {for (UserInfo userInfo : userInfoList) {…...