关于模板的三个漏洞问题怎么修复？ - 其它问题

关于模板的三个漏洞问题怎么修复？

安全设置

总计三个漏洞，一个高危，另外2个是中危。

漏洞一：

漏洞名称：目录穿越漏洞

风险页面	http://www.xxxxxx.com/

风险等级	高
风险描述	此脚本可能容易受到目录穿越攻击。目录穿越是一个漏洞，使攻击者可以访问受限制的目录并在Web服务器的根目录之外执行命令。
危害影响	通过利用目录穿越漏洞，攻击者可以退出根目录并访问其他目录中的文件。攻击者可能会查看受限制的文件或执行命令，从而完全破坏了Web服务器。

解决方案	脚本应从用户输入中过滤元字符。

风险举证：	http://www.xxxx.com/
	请求：	GET /xxxxx/static/config/../../WEB-INF/web.xml? HTTP/1.1 Connection: Keep-Alive User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36

漏洞二：

漏洞名称：应用程序错误消息泄露

风险页面	http://www.xxx.com/index.php
风险等级	中
风险描述	此页面包含错误/警告消息，可能会泄露敏感信息。该消息还可以包含产生未处理异常的文件的位置。如果在文档页面中找到错误消息，则可能是误报。
危害影响	错误消息可能会泄露敏感信息。此信息可用于发起进一步的攻击。
解决方案	查看此脚本的源代码，关闭敏感错误信息输出。

风险举证：	http://www.xxx.com/index.php
	请求：	GET /index.php?m=home&c[]=Search&a=lists&keywords=1&submit=1 HTTP/1.1 Referer: http://www.xxx.com/index.php Connection: Keep-Alive Cookie: PHPSESSID=xxxxdicjvm27xxxxd5ltctei;yjs_id=xxxxxx25bf4687xxxx52;ctrl_time=1 User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36

漏洞三：Javascript库不安全

漏洞名称	Javascript库不安全【原理扫描】
风险页面	http://www.xxxx.com/template/pc/skin/js/jquery-1.7.2.min.js
风险等级	中
风险描述	正在使用易受攻击的Javascript库。已报告此版本的Javascript库存在一个或多个漏洞。有关受影响的库和所报告的漏洞的更多信息，请查阅攻击详细信息和Web参考。
危害影响	有关更多信息，请参考Web参考。
解决方案	升级到最新版本。
参考资料
CVE编号	-
BID编号
CNVD编号
CNNVD编号
风险举证：	http://www.xxxxx.com/template/pc/skin/js/jquery-1.7.2.min.js
	请求：	GET /template/pc/skin/js/jquery-1.7.2.min.js HTTP/1.1 Accept : / Cookie : PHPSESSID=xxxicjvm27jtxxx5ltctei Referer : http://www.xxxx.com/ User-Agent : Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.0.0 Safari/537.36

以上三个漏洞怎么修复？

2023年09月21日 | 1784人阅读

好问题 0

举报

最佳答案

小虎哥

1

150****5362 等1人赞同

漏洞一：服务器站点本身问题，设置防跨站，禁止访问站点以外的文件，以宝塔为例：

漏洞二：在更新日志里，下载最新的更新补丁包

漏洞三：网站前台模板低版本jquery文件问题，可以查看以下教程升级jquery到最新版本

https://www.eyoucms.com/help/eyoujq/30093.html

然后检查前台页面效果等功能是否受影响，自行排查。

2023年09月26日

150****5362 | 2023年09月26日

回复

1、漏洞一如果是用nginx代理的话应该怎么设置？ 2、漏洞二我目前的版本是1.6.3，可以直接下载替换文件是吧？

150****5362 | 2023年09月26日

回复

直接替换后提示找不数据表或视图不存在 [错误代码] SQLSTATE[42S02]: Base table or view not found: 1146 Table 'hdcms.t_admin_theme' doesn't exist 到系统表，报错了。报错 \core\library\think\db\Connection.php 第 389 行左右

回答 | 共 10 个

默认排序

alpha

0

jquery-1.7.2.min.js 我知道这下一个最新的替换不就行啦！https://code.jquery.com/jquery-3.7.1.min.js

2023年09月21日

150****5362 | 2023年09月21日

回复

替换是向下兼容的吧，如果替换之后之前的脚本是否还能正常运行？

alpha | 2023年09月21日

回复

先替换了在说，报错了在找到报错原因，让chatgpt 修复方案。我就是这么搞的

150****5362 | 2023年09月21日

回复

漏洞一和漏洞二有方法吗？

alpha | 2023年09月21日

回复

这你要问问官方的技术人员。我是不懂代码的

150****5362 | 2023年09月21日

回复

好的，官方问了让发帖子。

帕赫贝尔

0

你好，遇到相同问题，你的这个问题解决了吗？是帖子里这三种方法解决的吗

05月13日

游客

内容举报

请慎重选择举报原因

垃圾广告营销

不友善内容

侮辱谩骂骚扰

淫秽色情信息

违法有害信息

涉嫌抄袭/盗用

产品

服务

帮助

关于

工作日 8:30-12:00 14:30-18:00
周六及部分节假日提供值班服务

业务客服
付费修改
加入Q群

: 微信客服