任意文件读取漏洞（CVE-2024-7928）修复
验证CVE-2024-7928问题是否存在可以使用如下方法：
https://域名/index/ajax/lang?lang=..//..//目录名/文件名（不带后缀）
目录名是该项目的一个目录，这里目录位置为nginx设置站点目录为基准，网上两层目录。
文件名是目录下的项目文件，通常是包含项目参数初始化的文件。
假定目录名为application，文件名为database.php，那么验证链接为：
https://域名/index/ajax/lang?lang=..//..//application/database
在浏览器中验证效果如下：
该漏洞源于FastAdmin 1.3.3.20220121版本，该漏洞影响了文件/index/ajax/lang的一些未知功能。通过操作参数lang可以导致路径遍历。针对此漏洞，可参考FastAdmin修复建议，对代码进行修改。（官网地址：https://www.fastadmin.net/news/94.html）
官方提供了两种修复方法，一种是关闭多语言功能，一种是手动修改代码进行修复。
第一种修复方法;
修改application/config.php大概第45行的lang_switch_on的对应值修改为false即可。
打开application/common/behavior/Common.php，添加以下代码
public function appInit()
{
$allowLangList = Config::get('allow_lang_list') ?? ['zh-cn', 'en'];
\think\Lang::setAllowLangList($allowLangList);
}
然后打开application/tags.php，在app_init对应的数组中添加以下代码
'app\\common\\behavior\\Common',
fastadmin另有安全提示如下：
建议启用application/config.php中的cookie配置中的httponly设置为true，如果是https，建议secure也配置为true。
FastAdmin目录安全配置，如下：
生产环境首先全部设置为555权限，
runtime目录设置为755权限
public/uploads目录设置为755权限并禁用PHP脚本执行
禁用后台admin模块，启用独立的后台登录入口，最新版已经默认禁用 admin 模块。
新增网站配置时务必绑定public目录，同时启用open_basedir限制只允许FastAdmin的根目录，例如：fastcgi_param PHP_VALUE "open_basedir=/var/www/fastadmin/:/tmp/:/proc/";
修改php.ini，禁用不安全的函数，配置如disable_functions = passthru,exec,system,chroot,chgrp,chown,shell_exec,proc_open,proc_get_status,popen,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru
相关文章：
任意文件读取漏洞（CVE-2024-7928）修复
验证CVE-2024-7928问题是否存在可以使用如下方法： https://域名/index/ajax/lang?lang..//..//目录名/文件名（不带后缀） 目录名是该项目的一个目录，这里目录位置为nginx设置站点目录为基准，网上两层目录。 文件名…...
07 初始 Oracle 优化器
查询优化器，简称优化器，是数据库最核心的组件之一。我们在这个系列的第一篇文章中已经给大家介绍了，优化器会参与到SQL语句的解析过程中，用来生成SQL语句的执行计划，直接决定SQL语句执行性能的优劣。 什么是执行计划 …...
深入理解React Hooks：使用useState和useEffect
引言 React Hooks是React 16.8引入的一项强大功能，它使函数组件能够使用状态和其他React特性。本文将深入探讨两个最常用的Hooks：useState和useEffect，并通过实际代码示例展示它们的使用方法。 1. 什么是React Hooks？ React Ho…...
深入浅出剖析典型文生图产品Midjourney
2022年7月，一个小团队推出了公测的 Midjourney，打破了 AIGC 领域的大厂垄断。作为一个精调生成模型，以聊天机器人方式部署在 Discord，它创作的《太空歌剧院》作品，甚至获得了美国「数字艺术/数码摄影」竞赛单元一等奖。 这一事件展示了 AI 在绘画领域惊人的创造力，让人们…...
大数据学习18之Spark-SQL
1.概述 1.1.简介 Spark SQL 是 Apache Spark 用于处理结构化数据的模块。 1.2.历史 1.2.1.Shark Hadoop诞生初期，Hive是唯一在Hadoop上运行的SQL-on-Hadoop工具，MR的中间计算过程产生了大量的磁盘落地操作，消耗了大量的I/O，降低…...
Flink开发入门简单案例--统计实时流订单
Flink开发入门简单案例 0.简介1.订单数据生成器1.1 新建工程TestFlink1.2 在pom.xml中引入Flink依赖包1.3 订单数据生成类订单类（Item）订单生成数据流类测试订单生成类 2.订单统计2.1 仅统计订单中商品的件数 2.2 同时统计商品数量和金额 0.简介 本案例…...
Scala身份证上的秘密以及Map的遍历
object test {def main(args: Array[String]): Unit {val id "42032220080903332x"//1.生日是？//字符串截取val birthday id.substring(10,14) //不包括终点下标println(birthday)val year id.substring(6,10) //println(year)//性别：倒数第…...
RabbitMQ
交换机 Fanout：广播Direct：定向路由Topic：匹配符 声明队列和交换机 基于Bean基于注解 消息转换器 JSON序列化...
全景图像（Panorama Image）向透视图像（Perspective Image）的跨视图转化（Cross-view）
一、概念讲解 全景图像到透视图像的转化是一个复杂的图像处理过程，它涉及到将一个360度的全景图像转换为一个具有透视效果的图像，这种图像更接近于人眼观察世界的方式。全景图像通常是一个矩形图像，它通过将球面图像映射到平面上得到…...
matlab 实现混沌麻雀搜索算法的光伏MPPT控制仿真
1、内容简介 略 103-可以交流、咨询、答疑 2、内容说明 略 3、仿真分析 略 4、参考论文 略...
【设计模式】【行为型模式（Behavioral Patterns）】之策略模式（Strategy Pattern）
1. 设计模式原理说明 策略模式（Strategy Pattern） 是一种行为设计模式，它允许你定义一系列算法，并将每个算法封装起来，使它们可以互换。策略模式让算法的变化独立于使用算法的客户。通过这种方式，客户端可…...
RoBERTa)
深度学习笔记之BERT(三)RoBERTa
深度学习笔记之RoBERTa 引言回顾：BERT的预训练策略RoBERTa训练过程分析静态掩码与动态掩码的比较模型输入模式与下一句预测使用大批量进行训练使用Byte-pair Encoding作为子词词元化算法更大的数据集和更多的训练步骤 RoBERTa配置 引言 本节将介绍一种基于 BERT \t…...
windows docker 入门
这个教程将指导你如何安装Docker、运行第一个容器以及理解一些基本概念。 第一步：安装Docker Desktop for Windows 系统要求： Windows 10 64位版本（专业版、企业版或教育版）。启用Hyper-V和Windows Subsystem for Linux (WSL 2)。…...
【软考速通笔记】系统架构设计师③——信息安全技术基础知识
文章目录 一、前言二、信息安全基础知识2.1 信息安全的基本要求2.2 信息安全的范围2.3 网络安全表现2.4 安全措施包括 三、信息安全系统的组成框架3.1 技术体系：3.2 组织机构体系：3.3 管理体系 四、信息加解密技术4.1 对称密钥加密算法4.2 非对称密钥加密…...
Spring Boot整合Redis Stack构建本地向量数据库相似性查询
Spring Boot整合Redis Stack构建本地向量数据库相似性查询 在微服务架构中，数据的高效存储与快速查询是至关重要的。Redis作为一个高性能的内存数据结构存储系统，不仅可以用作缓存、消息代理，还可以扩展为向量数据库，实现高效的相…...
设计模式-装饰者模式
背景 有一个咖啡馆有 单品咖啡：意大利浓咖啡、美式咖啡、无因咖啡 调料：牛奶、巧克力 点单时需要点一个单品咖啡，可以选择加调料或者不加。 最后计算价格。 较好的传统思路： 创建一个抽象的咖啡类，其中有各个调…...
.NetCore 过滤器和拦截器 的区别
Asp.NET Core 中的过滤器（Filter）和拦截器（Interceptor）是两个不同的概念，但它们在某些方面有相似之处，也有明显的区别。 🔑过滤器（Filter） 过滤器是Asp.NET Core中用于…...
uniapp实现APP版本升级
App.vue 直接上代码 <script>export default {methods: {//APP 版本升级Urlupload() {// #ifdef APP-PLUSplus.runtime.getProperty(plus.runtime.appid, (info) > {// 版本号变量持久化存储getApp().globalData.version info.version;this.ToLoadUpdate(info.versi…...
c语言的qsort函数理解与使用
介绍：qsort 函数是 C 标准库中用于排序的快速排序算法函数。它的用法非常灵活，可以对任意类型的元素进行排序，只要提供了比较函数即可。 qsort 函数原型及参数解释： void qsort ( void* base, //指向要排序的数组的首元素…...
k8s集群增加nfs-subdir-external-provisioner存储类
文章目录 前言一、版本信息二、本机安装nfs组件包三、下载nfs-subdir-external-provisioner配置文件并进行配置1.下载文件2.修改配置 三、进行部署备注：关于镜像无法拉取问题的处理 前言 手里的一台服务器搭建一个单点的k8s集群，然后在本机上使用nfs-su…...
IT成长之路-ubuntu驱动篇
历时3天的蹂躏，总结驱动安装全面教程。 步骤一、安装gcc、g和make包 #脚本更新 sudo apt-get update #编译gcc sudo apt-get install gcc #编译g sudo apt-get install g #编译make sudo apt-get install make 注意： gcc、g版本可能会导致显卡驱动安…...
AI大模型如何赋能电商行业，引领变革
目录 1.概述 1.1. 购物推荐系统 1.2. 会员分类与客户细分 1.3. 动态商品定价 1.4. 库存和供应链管理 1.5. 客户服务与体验 1.6. 内容生成与管理 2.AI技术在电商中的创新应用 2.1.淘宝 2.2.京东 2.3.华为 2.4.小米 3.AI技术在提高电商平台销售效率方面发挥的作用 …...
QT6学习第四天 感受QT的文件编译
QT6学习第四天 感受QT的文件编译 使用纯代码编写程序新建工程 使用其他编辑器纯代码编写程序并在命令行运行使用 .ui 表单文件生成界面使用自定义 C 窗口类使用现成的QT Designer界面类 使用纯代码编写程序 我们知道QT Creator中可以用拖拽的方式在 .ui 文件上布局，…...
地平线 bev_cft_efficientnetb3 参考算法-v1.2.1
01 概述 在自动驾驶感知算法中 BEV 感知成为热点话题，BEV 感知可以弥补 2D 感知的缺陷构建 3D “世界”，更有利于下游任务和特征融合。 地平线集成了基于 bev 的纯视觉算法，目前已支持 ipm-based 、lss-based、 transformer-basedÿ…...
【linux】shell脚本
文章目录 1. jar包启动脚本1.1 方式一1.2 方式二 2. 进程关闭脚本3. 操作mysql4. impala建表语句提取5. 监控磁盘存量6. 清日志脚本7. 替换tomcat的启动端口8. 将一行数据按照空格依次读取 1. jar包启动脚本 1.1 方式一 #!/bin/sh RESOURCE_NAME/usr/local/applications/scre…...
构建一个去中心化的零售生态参与者的商业模型
在数字化和去中心化技术快速发展的背景下，传统零售行业正迎来革命性的转型。去中心化零售生态不仅让消费者、商家和内容创作者在同一平台上共同参与价值的创造和分配，还推动了零售体验、数据控制和社会互动的彻底变革。本文将探讨如何构建一个去中心化的…...
Spring Boot开发实战：从入门到构建高效应用
Spring Boot 是 Java 开发者构建微服务、Web 应用和后端服务的首选框架之一。其凭借开箱即用的特性、大量的自动化配置和灵活的扩展性，极大简化了开发流程。本文将以实战为核心，从基础到高级，全面探讨 Spring Boot 的应用开发。 一、Spring B…...
MyBatis（mybatis_plus）中TypeHandler的使用教程
MyBatis（mybatis_plus）中TypeHandler的使用教程 一.TypeHandler作用及其使用场景 在我们平常开发操作数据库时，查询、插入数据等操作行为，有时会报数据类型不匹配异常，就可以得知数据的类型是不唯一的必然是多种不同…...
【C++】IO库（三）：string流
8.3 string 流 sstream 头文件定义了三个类型来支持内存 IO，这些类型可以向 string 写入数据，也可以从 string 读取数据，就像 string 是一个 IO 流一样。 istringstream 从 string 读数据；ostringstream 向 string 写入数据&…...
C# 反射详解
反射是C#中的一个强大特性，允许程序在运行时检查和操作类型和对象的信息。 通过反射，你可以获取类型的属性、方法、构造函数等信息，并可以动态创建对象、调用方法或访问属性，甚至可以实现某些框架或库的核心功能。 反射的基本概念…...
量化交易系统开发-实时行情自动化交易-8.量化交易服务平台（一）
19年创业做过一年的量化交易但没有成功，作为交易系统的开发人员积累了一些经验，最近想重新研究交易系统，一边整理一边写出来一些思考供大家参考，也希望跟做量化的朋友有更多的交流和合作。 接下来会对于收集整理的33个量化交易服…...
【开发商城系统】
在广西开发商城系统，可以按照以下步骤进行： 确定项目需求：与客户沟通，了解商城系统所需的功能和特性，并确定项目的预算和时间限制。 进行市场调研：了解广西地区的电商市场情况，包括竞争对手、消…...
C++设计模式-享元模式
动机(Motivation) 在软件系统采用纯粹对象方案的问题在于大量细粒度的对象会很快充斥在系统中，从而带来很高的运行时代价——主要指内存需求方面的代价。如何在避免大量细粒度对象问题的同时，让外部客户程序仍然能够透明地使用面向对象的方式来进行操作…...
Spark——安装步骤详细教程
1、安装步骤 1、上传 cd /opt/modules 2、解压 tar -zxf spark-3.1.2-bin-hadoop3.2.tgz -C /opt/installs 3、重命名 cd /opt/installs mv spark-3.1.2-bin-hadoop3.2 spark-local 4、创建软链接 ln -s spark-local spark 5、配置环境变量： vi /etc/prof…...
摆烂仙君传——深度学习秘境奇缘
第一章：深度学习秘境 在修仙界与科技交织的边缘，八荒六合九天无上摆烂仙君在其高科技修炼室中感应到一股神秘的召唤。这股力量似乎与他的灵魂产生了共鸣，引导他前往传说中的深度学习秘境。在那里，古老的仙法与前沿的算法交织&…...
C++设计模式：桥接模式（Bridge）
什么是桥接模式？ 桥接模式（Bridge Pattern）是一个用来解耦的设计模式，它将抽象层和实现层分离开，让它们可以独立变化。用最简单的话来说，就是让你能够改变抽象的功能和具体的实现，而不需要修改…...
c++源码阅读__smart_ptr__正文阅读
文章目录 简介源码解析1. 引用计数的实现方式2. deleter静态方法的赋值时间节点3.make_smart的实现方式 与 好处4. 几种构造函数4.1 空构造函数4.2 接收指针的构造函数4.3 接收指针和删除方法的构造函数 , 以及auto进行模板lambda的编写4.4 拷贝构造函数4.5 赋值运算符 5. rele…...
halcon3D 1:1切片轮廓投影技术，透过像素距离，知实际物体的尺寸
首先说做个什么事儿 对一个物体的横截面进行1:1或者1:10的投影，也就是说世界物体1mm的话，投影到image中占1个或者10个像素值，这样，就可以透过直接计算image中的像素距离，知道实际物体的尺寸 用一张图说明是这样的。物…...
npm库xss依赖的使用方法和vue3 中Web富文本编辑器 wangeditor 使用xss库解决 XSS 攻击的方法
npm库xss依赖的使用方法和vue3 中Web富文本编辑器 wangeditor 使用xss库解决 XSS 攻击的方法 1. npm库xss依赖的使用方法1.1 xss库定义1.2 xss库功能 2. vue3 中 wangeditor 使用xss库解决 XSS 攻击的方法和示例2.1 在终端执行如下命令安装 xss 依赖2.2 在使用 wangeditor 的地…...
计算机网络 实验七 NAT配置实验
一、实验目的 通过本实验理解网络地址转换的原理和技术，掌握扩展NAT/NAPT设计、配置和测试。 二、实验原理 NAT配置实验的原理主要基于网络地址转换（NAT）技术，该技术用于将内部私有网络地址转换为外部公有网络地址，从…...
UI设计-色彩、层级、字体、边距（一）
一.色彩：色彩可以影响人的心理与行动，具有不同的象征意义；有冷暖，轻重，软硬等等。 1.色彩情绪：最直观的视觉感受 一个活动的页面所用的颜色必须要与其内容相适应，让人看起来舒服。有时我们会不…...
【网络安全】
黑客入侵 什么是黑客入侵？ “黑客”是一个外来词，是英语单词hacker的中文音译。最初，“黑客”只是一个褒义词，指的是那些尽力挖掘计算机程序最大潜力的点脑精英，他们讨论软件黑客的技巧和态度，以及共享文化…...
c++趣味编程玩转物联网：基于树莓派Pico控制有源蜂鸣器
有源蜂鸣器是一种简单高效的声音输出设备，广泛应用于电子报警器、玩具、计时器等领域。在本项目中，我们结合树莓派Pico开发板，通过C代码控制有源蜂鸣器发出“滴滴”声，并解析其中涉及的关键技术点和硬件知识。 一、项目概述 1. 项…...
【MySQL】MySQL从入门到放弃
文章目录 声明MYSQL一,架构1.1.网络连接层数据库连接池 1.2.系统服务层1.2.1.SQL接口1.2.2.存储过程1.2.3.触发器1.2.4.解析器1.2.5.优化器1.2.6.缓存,缓冲 1.3.存储引擎层1.4.文件系统层1.4.1.日志模块1.4.2.数据模块 二,SQL 执行2.1.执行流程2.2.刷盘2.3.返回 三.库表设计3.1…...
redis-cluster集群搭建
集群节点信息 192.168.222.131:46379 主要节点1 192.168.222.131:46380 从节点1 192.168.222.131:46381 从节点2192.168.222.132:46379 主要节点2 192.168.222.132:46380 从节点1 192.168.222.132:46381 从节点2192.168.222.133:46379 主要节点3 192.168.222.133:46380 从节点…...
C语言解决空瓶换水问题：高效算法与实现
标题：C语言解决空瓶换水问题：高效算法与实现 一、问题描述 在一个饮料促销活动中，你可以通过空瓶换水的方式免费获得更多的水：3个空瓶可以换1瓶水。喝完这瓶水后，空瓶会再次变为空瓶。假设你最初拥有一定数量的空瓶&a…...
单例模式入门
单例模式是一种创建型设计模式， 让你能够保证一个类只有一个实例， 并提供一个访问该实例的全局节点。 它的运作方式是这样的： 如果你创建了一个对象， 同时过一会儿后你决定再创建一个新对象， 此时你会获得之前已创建的…...
MongoDB快速入门
1 MongoDB 1.1 MongoDB 概念 1.1.1 什么是 MongoDB MongoDB 是在2007年由DoubleClick公司的几位核心成员开发出的一款分布式文档数据库，由C语言编写。 目的是为了解决数据大量增长的时候系统的可扩展性和敏捷性。MongoDB要比传统的关系型数据库简单很多。 在Mo…...
c语言中的extern是什么
在C语言中，extern 是一个关键字，用于声明变量或函数的外部链接。它告诉编译器该变量或函数的定义在其他文件中，编译器在编译当前文件时并不需要知道变量或函数的具体定义，而是将它们视作外部引用。 1. 变量的 extern 声明 当你在…...
CTF之密码学（摩斯密码）
一、历史背景 摩尔斯电码发明于1837年，是一种早期的数字化通信形式。它最初由艾尔菲德维尔和摩尔斯等人构思，通过点、划和中间的停顿，把各个字元以及标点符号彼此独立地发送出去。这种标识不同符号的方案后来被放入摩尔斯的专利中࿰…...