孔德飞,关于W2000-G2 检测到目标URL存在http host头攻击漏洞检测到目标站点存在javascript框架库漏洞

1676537946,

漏洞相关信息

漏洞编号： 不涉及 漏洞名称： 检测到目标URL存在http host头攻击漏洞检测到目标站点存在javascript框架库漏洞 产品型号及版本： W2000-G2

漏洞描述

检测到目标站点存在Javascript框架库漏洞 【可验证】 1 1 受影响站点
详细描述 Javascript 框架或库是一组能轻松生成跨浏览器兼容的 Javascript 代码的工具和函数。如果网站使用了存在漏洞的 Javascript 框架或库，攻击者就可以利用此漏洞来劫持用户浏览器，进行挂马、XSS、COOKIE劫持等攻击。 解决办法 将受影响的Javascript框架库升级到最新版本。 验证方法 根据检测到目标站点存在Javascript框架库漏洞原理，通过获取Javascript框架库版本并查看该版本是否在受影响范围内进行漏洞验证。 威胁分值 6 危险插件 否 发现日期 2001-01-01 CVSS评分 6.1(CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N) 2 检测到目标URL存在http host头攻击漏洞 【可验证】 1 1 受影响站点
详细描述 为了方便的获得网站域名，开发人员一般依赖于HTTP Host header。例如，在php里用_SERVER["HTTP_HOST"]。但是这个header是不可信赖的，如果应用程序没有对host header值进行处理，就有可能造成恶意代码的传入。 解决办法 web应用程序应该使用SERVER_NAME而不是host header。 在Apache和Nginx里可以通过设置一个虚拟机来记录所有的非法host header。在Nginx里还可以通过指定一个SERVER_NAME名单，Apache也可以通过指定一个SERVER_NAME名单并开启UseCanonicalName选项。 验证方法 根据检测到目标URL存在http host头攻击漏洞原理，通过修改host头并根据目标站点的响应情况进行漏洞验证。 威胁分值 5 危险插件 否 发现日期 2008-06-12 CVSS评分 6.1(CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)

漏洞解决方案

现场属于误报，可以升级到官网最新版本解决

CRM论坛（CRMbbs.com）——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容，欢迎向我们投稿，共建CRM多元化生态体系，创建CRM客户管理一体化生态解决方案。本文来源：知了社区基于知识共享署名-相同方式共享3.0中国大陆许可协议,关于W2000-G2 检测到目标URL存在http host头攻击漏洞检测到目标站点存在javascript框架库漏洞