当前位置： 首页 > news >正文

ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）

news 文章来源：https://blog.csdn.net/hwscom/article/details/144344233 2025/1/17 0:59:27

ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。

国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。

漏洞编号：CNVD-2024-44822、CVE-2024-44818

影响产品：ZZCMS 2023

漏洞级别：中

公布时间：2024-11-14

漏洞描述：ZZCMS的 ask\caina.php 文件未对 HTTP_Referer 参数进行安全过滤，导致存在跨站脚本漏洞，不法分子可利用该漏洞注入执行任意Web脚本或HTML，可获取敏感信息或劫持用户会话。

（图一：未对HTTP_REFERER进行安全过滤）

解决办法：

目前厂商已经发布修复补丁，补丁详情：https://www.cnvd.org.cn/patchInfo/show/618131

另外你也可以使用『护卫神·防入侵系统』的SQL注入防护模块来解决该漏洞问题，该模块除了防SQL注入，还可以防跨站脚本漏洞。不止对该漏洞有效，对所有SQL注入和跨脚本漏洞都可以防护。

1、SQL注入防护和XSS跨站攻击防护

『护卫神·防入侵系统』自带的SQL注入防护模块（如图二）除了拦截SQL注入，还可以拦截xss跨站脚本，一并解决ZZCMS的其他安全漏洞，拦截效果如图四。

温馨提醒：由于是HTTP_Referer出现的跨站脚本漏洞，因此请务必开启“HEADER防注入”模块！

SQL注入防护模块

（图二：SQL注入防护模块）

xss攻击防护

（图三：XSS跨站脚本攻击防护）

SQL注入拦截效果

（图四：SQL注入拦截效果）

2、防篡改保护

如果对安全要求较高，还可以使用『护卫神·防入侵系统』系统的“篡改防护”模块，对ZZCMS做防篡改保护。

在“篡改防护-添加CMS防护”（如图五）。选择网站目录，安全模板选择“ZZCMS安全模板”，并填写正确的后台地址，点击“确定”按钮，就添加好了。

护卫神.防入侵系统内置有ZZCMS的篡改防护规则，只需简单设置即可解决，非常方便！

zzcms防篡改

（图五：添加ZZCMS防篡改规则）

设置好以后，防入侵系统就会对后台进行保护，后期访问时需要先验证授权密码（如图六），只有输入了正确的密码才能访问。

网站后台保护

（图六：访问后台需要输入授权密码）

原文：漏洞文献：ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）

相关文章：

ZZCMS2023存在跨站脚本漏洞（CNVD-2024-44822、CVE-2024-44818）

ZZCMS是一款用于搭建招商网站的CMS系统，由PHP语言开发，可快速搭建：医药招商、保健品招商、化妆品招商、农资招商、孕婴童招商、酒类副食类等招商网站。 国家信息安全漏洞共享平台于2024-11-14公布其存在跨站脚本漏洞。 漏洞编号&#xff1a…...

编程日记 2024/12/11 18:58:49

Android 15 前台服务类型的变更

在 Android 15 中对前台服务类型做出以下更改。 仍在处理中的媒体内容 要在其清单中声明的前台服务类型 android:foregroundServiceType mediaProcessing在清单中声明的权限 FOREGROUND_SERVICE_MEDIA_PROCESSING要传递给 startForeground() 的常量 FOREGROUND_SERVICE_TYPE_ME…...

编程日记 2024/12/11 18:56:47

微信小程序开发简易教程

微信小程序文件结构详解 1. 项目配置文件 project.config.json 项目的配置文件包含项目名称、appid、编译选项等配置示例： {"description": "项目配置文件","packOptions": {"ignore": []},"setting": {&quo…...

编程日记 2024/12/11 18:55:46

树莓派 发那科 Fanuc Linux跨平台CNC数控数据采集协议，TCP协议包

市面上的数控基本都支持了跨平台通讯，下面以发那科为列讲解跨平台协议如何通讯，无需任何DLL，适配任何开发语言，纯Socket通讯 先上采集图 握手包：a0 a0 a0 a0 00 01 01 01 00 02 00 02 释放包：a0 a0 a0 a…...

编程日记 2024/12/11 18:54:45

Ubuntu中安装配置交叉编译工具并进行测试

01-下载获取交叉编译工具的源码 按照博文 https://blog.csdn.net/wenhao_ir/article/details/144325141的方法，把imx6ull的BSP下载好后，其中就有交叉编译工具。 当然，为了将来使用方便，我已经把它压缩并传到了百度网盘&#xff…...

编程日记 2024/12/11 18:53:43

C++核心day3作业

作业： 1.整理思维导图 2.整理课上代码 3.把课上类的三个练习题的构造函数写出来 函数全部类内声明，类外定义 定义一个矩形类Rec，包含私有属性length、width，包含公有成员方法： void set_length(int l); //设置长度v…...

编程日记 2024/12/11 18:52:41

socket UDP 环路回显的服务端

基于socket通讯的方式&#xff0c;无论用http或者udp或者自定义的协议&#xff0c;程序结构都是类似的。这个以UDP协议为例简要说明。 #include <stdio.h> // 标准输入输出库 #include <sys/types.h> // 提供了一些数据类型&#xff0c;如ssize_t #include <sy…...

编程日记 2024/12/11 18:51:41

springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码

基于springboot(可改ssm)htmlvue项目 springboot/ssm车辆违章信息管理系统Java代码web项目汽车违章处罚源码 开发语言&#xff1a;Java 框架&#xff1a;springboot/可改ssm vue JDK版本&#xff1a;JDK1.8&#xff08;或11&#xff09; 服务器&#xff1a;tomcat 数据库&…...

编程日记 2024/12/11 18:49:39

5G模组AT命令脚本-关闭模组的IP过滤功能

关闭模组的IP过滤功能 关闭模组的IP过滤功能 5G 模组通常使用nat方式为 下挂设备或上位机提供上网服务&#xff0c;默认情况&#xff0c;不做NAt的包无法经由 模组转发&#xff0c;如果禁掉这个限制 &#xff0c;可使用本文中的配置命令本脚本用于关闭模组的IP过滤功能&#xf…...

编程日记 2024/12/11 18:46:33

STM32:实现ping命令(lwip)

目录 0.协议介绍ICMP数据包格式ping指令发送的ICMP回声请求消息ping指令接收的ICMP回声应答消息1.实现步骤2.源码分析2.1 初始化函数2.2 发送函数2.3 回调函数2.3.1 函数定义：2.3.2 解析数据包：2.3.3.处理ICMP数据包：2.3.4 资源释放：2.3.5 返回值：3.源码展示4.源码链接5.问…...

编程日记 2024/12/11 18:41:28

nvm安装指定版本显示不存在及nvm ls-remote 列表只出现 iojs 而没有 node.js 解决办法

在使用 nvm install 18.20.3 安装 node 时会发现一直显示不存在此版本 Version 18.20.3 not found - try nvm ls-remote to browse available versions.使用 nvm ls-remote 查看可安装列表时发现&#xff0c;列表中只有 iojs 解决方法&#xff1a; 可以使用以下命令查看可安装…...

编程日记 2024/12/11 18:39:26

Spring Boot 中 WebClient 的实践详解

在现代微服务架构中&#xff0c;服务之间的通信至关重要。Spring Boot 提供了 WebClient&#xff0c;作为 RestTemplate 的替代方案&#xff0c;用于执行非阻塞式的 HTTP 请求。本文将详细讲解 WebClient 的实践&#xff0c;包括配置、使用场景以及常见的优化策略&#xff0c;帮…...

编程日记 2024/12/11 18:37:24

在GITHUB上传本地文件指南（详细图文版）

这份笔记简述了如何在GITHUB上上传文件夹的详细策略。 既是对自己未来的一个参考&#xff0c;又希望能给各位读者带来帮助。 详细步骤 打开目标文件夹&#xff08;想要上传的文件夹&#xff09; 右击点击git bash打开 GitHub创立新的仓库后&#xff0c;点击右上方CODE绿色按…...

编程日记 2024/12/11 18:34:21

【大模型系列篇】LLaMA-Factory大模型微调实践 - 从零开始

前一次我们使用了NVIDIA TensorRT-LLM 大模型推理框架对智谱chatglm3-6b模型格式进行了转换和量化压缩&#xff0c;并成功部署了推理服务&#xff0c;有兴趣的同学可以翻阅《NVIDIA TensorRT-LLM 大模型推理框架实践》&#xff0c;今天我们来实践如何通过LLaMA-Factory对大模型…...

编程日记 2024/12/11 18:33:21

30天学会Go--第7天 GO语言 Redis 学习与实践

30天学会Go–第7天 GO语言 Redis 学习与实践 文章目录 30天学会Go--第7天 GO语言 Redis 学习与实践前言一、Redis 基础知识1.1 Redis 的核心特性1.2 Redis 常见使用场景 二、安装 Redis2.1 在 Linux 上安装2.2 在 Windows 上安装2.3 使用 Docker 安装 Redis 三、Redis 常用命令…...

编程日记 2024/12/11 18:30:16

java 使用JSqlParser和CCJSqlParser 解析sql

maven <dependency><groupId>com.github.jsqlparser</groupId><artifactId>jsqlparser</artifactId><version>4.9</version> </dependency>解析SQL String sql "select aa,bb from b"; Statement statementCCJSq…...

编程日记 2024/12/11 18:29:15

基于spring boot的高校专业实习管理系统的设计与实现

文末获取源码和万字论文&#xff0c;制作不易&#xff0c;感谢点赞支持。 设计题目&#xff1a;基于spring boot的高校专业实习管理系统的设计与实现 摘 要 随着国内市场经济这几十年来的蓬勃发展&#xff0c;突然遇到了从国外传入国内的互联网技术&#xff0c;互联网产业从开…...

编程日记 2024/12/11 18:27:11

OpenCV相机标定与3D重建(11)机器人世界手眼标定函数calibrateRobotWorldHandEye()的使用

操作系统&#xff1a;ubuntu22.04 OpenCV版本&#xff1a;OpenCV4.9 IDE:Visual Studio Code 编程语言&#xff1a;C11 算法描述 计算机器人世界/手眼标定&#xff1a; w T b _{}^{w}\textrm{T}_b w​Tb​ 和 c T g _{}^{c}\textrm{T}_g c​Tg​。 cv::calibrateRobotWorldHa…...

编程日记 2024/12/11 18:22:05

计算机网络ENSP课设--三层架构企业网络

本课程设计搭建一个小型互联网&#xff0c;并模拟Internet的典型Web服务过程。通过此次课程设计&#xff0c;可以进一步理解Internet的工作原理和协议过程&#xff0c;并提高综合知识的运用能力和分析能力。具体目标包括&#xff1a; &#xff08;1&#xff09;掌握网络拓扑的…...

编程日记 2024/12/11 18:21:03

【openwrt】openwrt-21.02 基于IP地址使用ipset实现策略路由操作说明

openwrt版本信息 DISTRIB_ID=OpenWrt DISTRIB_RELEASE=21.02-SNAPSHOT DISTRIB_REVISION=r0-6bf6af1d5 DISTRIB_TARGET=mediatek/mt7981 DISTRIB_ARCH=aarch64_cortex-a53 DISTRIB_DESCRIPTION=OpenWrt 21.02-SNAPSHOT r0-6bf6af1d5 DISTRIB_TAINTS=no-all busybox override …...

编程日记 2024/12/11 18:20:02

Git：常用命令

一、查看当前分支 git branch 二、查看所有分支 git branch -a 三、切换到远程分支 git checkout origin/分支名 示例&#xff1a;git checkout origin/dev 四、拉取远程分支代码 git pull origin 分支名 示例&#xff1a;git pull origin dev 五、常用指令 查看暂存区…...

编程日记 2024/12/11 18:15:59

【2025最新版】搭建个人博客教程

【2025最新版】搭建个人博客教程 –小记&#xff1a; 在搭建我的这个博客之前我在CSDN也发布过一些文章&#xff0c;目前应该也是几千粉丝了&#xff0c;但是看到别人都是用自己博客写的就感觉自己很LOW&#xff0c;所以就想自己来搭建一个属于自己的个人博客。当然搭建博客的…...

编程日记 2024/12/11 18:14:57

微信小程序实现联动删除输入验证码框

以下是json代码 {"component": true,"usingComponents": {} }以下是wxml代码 <van-popup show"{{ show }}" bind:close"onClose" custom-class"extract"><image src"../../images/extract/icon1.png"…...

编程日记 2024/12/11 18:12:53

数据库中decimal、float 和 double区别

在计算机科学中&#xff0c;decimal、float 和 double 是用于表示和处理数值的不同数据类型。 - decimal 是一种精确的十进制浮点数表示&#xff0c;通常用于需要高精度计算的场景&#xff0c;比如财务应用。它能够精确表示小数&#xff0c;并且不会出现浮点数运算误差。 - flo…...

编程日记 2024/12/11 18:10:51

网络编程01

1. 概念 通过网络&#xff0c;让两个主机之间能够进行通信&#xff0c;基于这样的通信完成一定的功能 只要满足进程不同即可&#xff0c;即使是同一个主机&#xff0c;只要是不同的进程&#xff0c;基于网络完成编程 进行网络编程时&#xff0c;需要操作系统提供一组API&…...

编程日记 2024/12/11 18:09:50

el-dialog修改其样式不生效加deep也没用

场景 el-dialog标签直接写在了template下。 解决方法 在template中先写一层div&#xff0c;包裹住el-dialog。...

编程日记 2024/12/11 18:05:44

三天精通一算法之快速排序

力扣链接912. 排序数组 - 力扣&#xff08;LeetCode&#xff09;注意这题快排不能用递归&#xff0c;否则堆会爆 快速排序&#xff08;Quicksort&#xff09;是一种高效的排序算法&#xff0c;通常使用分治法来将一个列表分成较小的子列表&#xff0c;然后递归地排序这些子列表…...

编程日记 2024/12/11 18:03:42

互联网、物联网的相关标准

互联网的相关标准 网络通信协议&#xff1a; HTTP&#xff08;Hypertext Transfer Protocol&#xff09;&#xff1a;用于在网络中传输文本、图像、音频和视频等数据的协议。它基于请求-响应模型&#xff0c;客户端发送请求给服务器&#xff0c;服务器返回响应。HTTPS&a…...

编程日记 2024/12/11 18:00:39

Linux题库及答案

填空题 1. 建立用户账号的命令是__useradd________。 2. 修改账号密码的命令是__passwd________。 3. 更改用户密码过期信息的命令是__chage________。 4. 创建一个新组的命令是___groupadd_______。 5. 用于在不注销的情况下切换到系统中的另一个用户的命令是___su_…...

编程日记 2024/12/11 17:58:37

Android 镜像模式和扩展模式区别探讨-Android14

Android 镜像模式和扩展模式区别探讨 1、区分镜像模式和扩展模式1.1 扩展屏是否有显示内容1.2 镜像模式显示条件 2、镜像模式界面 同屏显示和异屏显示探讨DisplayManagerService启动及主屏添加-Android13 Android主副屏显示-Android14 1、区分镜像模式和扩展模式 LogicalDispla…...

编程日记 2024/12/11 17:56:35

wordpress侧边栏图片/东莞互联网推广

编写一个word2htm.vbs,然后把它拖放到存放word文档内&#xff0c;点按两下word2htm.vbs,目录内的所有文档会自动转换成htm文件。word2htm.vbs的编码如下。Set fsObject CreateObject ("Scripting.FileSystemObject")myDocDirfsObject.GetAbsolutePathName("&qu…...

编程日记 2025/1/16 22:36:16

建立网站的价格/百度网盘搜索引擎官方入口

关系型数据库(SQL)数据库就是用来储存数据的仓库&#xff0c;分为关系型数据库和非关系型数据库&#xff0c;通过关系模型存储数据&#xff0c;称之为“关系型数据库”&#xff0c;简言之就是存储数据的多张表之间存在关联关系。关系型数据库关系型数据库(SQL)特点&#xff1a;…...

编程日记 2025/1/16 21:41:02

网站费用计入什么科目/营销网站建设大概费用

ES6中引入了模板字符串(Template Literal)&#xff0c;是创建字符串的一种新方法。有了这个新特性&#xff0c;我们就能更好地控制动态字符串。这将告别长串连接字符串的日子。要创建一个模板字符串&#xff0c;我们可以使用反引号(撇号)字符替找单引号或"。这将产生一个新…...

编程日记 2025/1/16 19:19:53

学院二级网站建设方案模板/推广软件有哪些

前言第1章 Javac介绍11.1 初识Javac11.2 Javac源码与调试41.3 Javac命令7第2章 Javac文件系统122.1 文件相关实现类122.2 文件的管理252.2.1 获取JavacFileManager对象252.2.2 StandardLocation类282.2.3 JavacFileManager类31第3章 词法分析383.1 字符编码383.2 获取字符输入流…...

编程日记 2025/1/16 15:35:01

怎么做网站扫描/百度扫一扫识别图片在线

电脑垃圾如果能够清理得好&#xff0c;能很大程度上延缓电脑“老去”的时间。相同的电脑&#xff0c;有的人用几年还是很流畅&#xff0c;有些人刚用了三个月就变卡变慢了。这其中的影响因素有很多&#xff0c;电脑垃圾算是一种最容易解决的影响因素。电脑垃圾如果能够清理得好…...

编程日记 2025/1/16 15:03:24

中国工程建设造价信息网站/北京seo实战培训班

有时我们在安装系统后&#xff0c;发现没有安装当前系统的内核源码在/usr/src/kernels目录下。其实很简单&#xff0c;是少安装了一个rpm包&#xff08;kernel-devel&#xff09;&#xff1b; 安装上就可以了 有些软件安装没有问题&#xff0c;运行时就报错。&#xff08;我今天…...

编程日记 2025/1/16 14:23:45