当前位置：首页 > news >正文

【解决安全扫描漏洞】---- 检测到目标站点存在 JavaScript 框架库漏洞

news 来源：原创 2025/6/29 1:38:10

1. 漏洞结果

JavaScript 框架或库是一组能轻松生成跨浏览器兼容的 JavaScript 代码的工具和函数。如果网站使用了存在漏洞的 JavaScript 框架或库，攻击者就可以利用此漏洞来劫持用户浏览器，进行挂马、XSS、Cookie劫持等攻击。

1.1 漏洞扫描截图

输入图片说明

1.2 具体漏洞的 js 文件

输入图片说明

1.3 参考博客

Vue 项目安全扫描漏洞，JS 库版本太低，要求升级 YUI，过程总结

2. 定位漏洞

博客中提供三个可能存在这个漏洞的框架库。

jquery；
js-cookie；
jsencrypt。

2.1 开始狡辩

jsencrypt 依赖包最新版本查询
漏洞项目的 jsencrypt 的版本

由于前两个框架项目中没有使用，所以直接找第三个，证明漏洞项目已经是最新的了，而且项目中没有使用 YUI 库。因此可能不是这个库的问题。

2.2 漏洞甩脸

输入图片说明

安全扫描在扫描代码里边的确存在这个漏洞！

2.3 全局搜索

输入图片说明

全项目搜索，并未找到该漏洞，但是打包后漏洞又是存在的，就说明漏洞因该在 jsencrypt 包里。

2.4 找到漏洞代码

输入图片说明

可以看到这个代码是存在在 jsencrypt 中的，只是是通过 eval 方法执行的，哎，没想到最新版本，还是存在这个漏洞，但是加密又要使用，不能修改包里的文件。

3. 漏洞分析

YUI 2.8.0至2.9.0中Flash组件基础架构中的跨站脚本（XSS）漏洞，如4.0.9之前的Bugzilla 3.7.x和4.0.x、4.2.4之前的4.1.x和4.2.x以及4.4rc1之前的4.3.x和4.4.x中使用的漏洞，允许远程攻击者通过与swfstore.swf相关的向量注入任意web脚本或HTML，这与CVE-2010-4209类似。

输入图片说明

他的意思就是说 2.9.0 版本中的 Flash组件允许远程攻击者通过与swfstore.swf相关的向量注入任意web脚本或HTML导致的跨站脚本（XSS）漏洞。

3.1 检查是否使用了 YUI 的 Flash 组件

输入图片说明

可以看到代码只使用了 YUI 的 lang.extend 方法，并没有 Flash 组件的使用。原理上该项目是不存这个漏洞的，那么安全扫描是怎么扫出来存在漏洞的呢？

3.2 安全扫描报告

输入图片说明

通过报告可以看出，他是通过 YUI:2.9.0 这个版本号来得出安全隐患的。

4. 解决办法

通过上边分析，首先我们代码中没有使用 YUI 的 Flash 组件，所以不存在安扫报告里边的漏洞，但是你又高让安全扫描通过，而安全扫描是通过 YUI:2.9.0 版本号来确定存在隐患的，解决办法：删除版本号。

4.1 使用压缩后的文件

// 旧的引入方式
import JSEncrypt from 'jsencrypt'
// 新的引入方式
import JSEncrypt from 'jsencrypt/bin/jsencrypt.min'

4.2 删除注释

删除注释：vue.config.js 配置代码

chainWebpack(config) {// 删除注释config.optimization.minimizer('terser').tap(args => {// 直接修改 terserOptions 下的属性值，保留原有配置// 这里访问 terserOptions 的时候并没有 output，访问不到 output.comments 需要直接赋值args[0].terserOptions.output = {comments: false,}return args})
}

在漏洞项目运行报错

5. Vue项目WebPack打包删除注释和console

5.1 安装 uglifyjs-webpack-plugin

npm install uglifyjs-webpack-plugin -D

5.2 vue.config.js 配置

const UglifyJsPlugin = require('uglifyjs-webpack-plugin')module.exports = {configureWebpack: {optimization: {minimizer: [new UglifyJsPlugin({uglifyOptions: {// 删除注释output: {comments: false},// 删除console debugger 删除警告compress: {drop_console: true, //consoledrop_debugger: false,pure_funcs: ['console.log'] //移除console}}})]}}
}

6. 总结

最后通过安全扫描，其实这个漏洞只是存在隐患，项目中并没有使用 YUI 的 Flash 组件，因此是不存在这个漏洞，但是项目要通过安全扫描，没有办法，只能根据扫描工具的定位漏洞方法，去解决。
这个过程都是根据已存在的博客去依次排查解决，所以这些问题遇到了，就只能看能不能在网上找到解决办法，下一次一个安扫问题，估计不一定能解决。

【解决安全扫描漏洞】---- 检测到目标站点存在 JavaScript 框架库漏洞

1. 漏洞结果 JavaScript 框架或库是一组能轻松生成跨浏览器兼容的 JavaScript 代码的工具和函数。如果网站使用了存在漏洞的 JavaScript 框架或库，攻击者就可以利用此漏洞来劫持用户浏览器，进行挂马、XSS、Cookie劫持等攻击。 1.1 漏洞扫描截图 1.2 具体…...

编程日记 2025/6/29 1:38:10

深入解析 Kubernetes 节点操作：Cordon、Uncordon 和 Drain 的使用与最佳实践

摘要 Kubernetes 是一个用于自动化容器部署、扩展和管理的开源系统，而节点管理是其核心功能之一。cordon、uncordon 和 drain 是 Kubernetes 提供的与节点操作相关的三个重要命令，用于节点的调度控制和维护管理。本文将从概念、命令解析、内部机制和最佳…...

编程日记 2025/6/29 1:22:53

python array矩阵相关操作

目录： 一、判断某个值是否在array二维数组的某列中二、根据某列中的特定值筛选array数组三、查找一个元素在二维 array 矩阵中的位置四、判断array数组中的每个元素是否包含特定的子字符串一、判断某个值是否在array二维数组的某列中在 Python 中&#xf…...

编程日记 2025/6/29 0:52:16

网络安全——浅谈HTTP协议

HTTP请求 HTTP请求是客户端往服务端发送请求动作，告知服务器自己的要求。 HTTP请求由状态行、请求头、请求正文三部分组成： 状态行：包括请求方式Method、资源路径URL、协议版本Version；请求头：包括一些访问的域名、…...

编程日记 2025/6/28 23:22:21

BWO-CNN-BiGRU-Attention白鲸优化算法优化卷积神经网络结合双向门控循环单元时间序列预测，含优化前后对比

BWO-CNN-BiGRU-Attention白鲸优化算法优化卷积神经网络结合双向门控循环单元时间序列预测，含优化前后对比目录 BWO-CNN-BiGRU-Attention白鲸优化算法优化卷积神经网络结合双向门控循环单元时间序列预测，含优化前后对比预测效果基本介绍模型描述程序设计…...

编程日记 2025/6/27 22:01:13

55 基于单片机的方波频率可调

目录一、主要功能二、硬件资源三、程序编程四、实现现象一、主要功能采用STC89C52单片机最小系统，设计DAC0832、放大器、与示波器显示方波，四位数码管显示频率，两个按键可调。二、硬件资源基于KEIL5编写C代码，PROT…...

编程日记 2025/6/27 20:56:17

SAP SD学习笔记15 - 投诉处理2 - 返品处理流程之参照请求传票（发票）来生成返品传票

上一章讲了返品处理（退货处理）的流程。 SAP SD学习笔记14 - 投诉处理1 - 返品处理（退货处理）的流程以及系统实操，比如返品传票；请求Block标记；收到退货之后的处理，请求传票的登录_…...

编程日记 2025/6/27 20:12:21

LWIP和FATFS 实现 FTP 服务端

目录一、前言二、LWIP 和 FTP 简介 1.LWIP 2.FTP 三、实现 FTP 服务端的主要步骤 1.初始化 LWIP 2.创建 FTP 服务器任务 3.处理客户端连接 4.实现 FTP 命令处理 5.文件系统操作 6.错误处理和日志记录四、示例代码 1.创建FTP任务 2. FTP任务代码 3.处理交互数据…...

编程日记 2025/6/27 21:23:48

缓冲区的奥秘：解析数据交错的魔法

目录一、理解缓存区的好处 （一）直观性的理解 （二）缓存区的好处二、经典案例分析体会 （一）文件读写流（File I/O Buffering） BufferedOutputStream 和 BufferedWriter 可以加快…...

编程日记 2025/6/28 23:21:55

【MySQL — 数据库基础】MySQL的安装与配置＆数据库简单介绍

数据库基础本节目标掌握关系型数据库，数据库的作用掌握在Windows和Linux系统下安装MySQL数据库了解客户端工具的基本使用和SQL分类了解MySQL架构和存储引擎 1. 数据库的安装与配置 1.1 确认MYSQL版本处理无法在 cmd 中使用 mysql 命令的情况&a…...

编程日记 2025/6/27 21:22:34

如何使用Python解析从淘宝API接口获取到的JSON数据？

基本的 JSON 解析当从淘宝 API 接口获取到数据后（假设数据存储在变量response_data中），首先要判断数据类型是否为 JSON。如果是，就可以使用 Python 内置的json模块进行解析。示例代码如下： import json # 假设respon…...

编程日记 2025/6/27 20:11:58

Day1 生信新手笔记

生信新手笔记生信学习第一天笔记打卡。转录组学中： 上游分析-基于linux，包括质控、过滤、比对、定量； 下游分析-基于R语言，包括差异分析、富集分析、可视化。 1. 级别标题一个井号加空格就是一级标题，两个井号加…...

编程日记 2025/6/28 22:22:53

内网穿透步骤

步骤第一次需要验证token window和linux的方法不同。然后启动 cpolar 服务： 在命令窗口中输入 cpolar.exe htttp 8080，启动内网穿透服务。确保命令窗口保持开启状态，以维持穿透效果。 cpolar.exe hhttp 8080 成功后注意事项命令窗口…...

编程日记 2025/6/28 16:20:54

#启动容器代码docker run -it -d --name dev_aios -v D:\project\aialign:/www/ -v D:\project\data\dev\aios:/myfile/data/dev/aios -w /www/stand-alone-aios/aios -p 9002:9000 --ulimit core0 aialign/python-base:1.0 bash名词解释 docker run: 这是 Docker 的命令&#…...

编程日记 2025/6/27 22:12:55

微服务之短信验证服务配置完后junit单元测试短信发送失败

总之岁月漫长，然而值得等待。主要是版本冲突问题，具体报错与解决方法如下： 报错前： 启动失败短信服务测试报错： 解决后： 启动成功短信服务测试发送成功： 在使用 SpringBoot 开发时&am…...

编程日记 2025/6/27 21:34:16

QSqlTableModel的使用

实例功能这边使用一个实例显示数据库 demodb 中 employee 数据表的内容，实现编辑、插入、删除的操作，实现数据的排序和记录过滤，还实现 BLOB 类型字段 Photo 中存储照片的显示、导入等操作，运行界面如下图： 在上图中…...

编程日记 2025/6/27 16:38:58

构建高可用系统设计OpenStack、Docker、Mesos和Kubernetes(简称K8s)

如果构建高可用、高并发、高效运维的大型系统大型系统架构设计包括业务层设计、服务层设计、基础架层设计、存储层设计、网络层协同设计来完成。一、业务层根据主要业务范畴的分类和特征提取，抽象出独立的业务系统，分别统计系统的用户角色群体、访…...

编程日记 2025/6/27 22:14:30

CondaValueError: Malformed version string ‘~‘: invalid character(s).

问题描述：在window下使用conda安装任何包都会报错。报错信息是CondaValueError: Malformed version string ~: invalid character(s). 解决办法：把.condarc文件的源地址删除（八成是源地址访问不了了），只保存默认的&am…...

编程日记 2025/6/27 21:34:58

uniapp图片上传预览uni.chooseImage、uni.previewImage

文章目录 1.上传图片2.预览图片 1.上传图片 uni.chooseImage(OBJECT) 从本地相册选择图片或使用相机拍照。 App端如需要更丰富的相机拍照API（如直接调用前置摄像头），参考plus.camera 微信小程序从基础库 2.21.0 开始， wx.choos…...

编程日记 2025/6/27 15:15:26

代码随想录算法训练营第三十二天 | 509. 斐波那契数 | 70. 爬楼梯 | 746. 使用最小花费爬楼梯

Day 32 总结自己实现中遇到哪些困难今日收获，记录一下自己的学习时间 12:30 - 21:30 理论基础代码随想录动态规划问题有很多的重叠子问题需要解决，状态涉及推导 DP 5部曲 DP数组含义状态转移公式 dp数组初始化数组遍历顺序举例推导视频&a…...

编程日记 2025/6/26 22:53:05

Flink常见面试题

1、Flink 的四大特征（基石） 2、Flink 中都有哪些 Source，哪些 Sink，哪些算子（方法） 预定义Source 基于本地集合的source（Collection-based-source） 基于文件的source（…...

编程日记 2025/6/27 20:11:59

SpringCloud之Config：从基础到高级应用

目录一、SpringCloud Config 简介1、SpringCloud Config 概述（1）核心概念（2）SpringCloud Config 的特点（3）应用场景（4）工作原理（5）优势（6&#x…...

编程日记 2025/6/27 22:16:18

redis 底层数据结构

概述 Redis 6 和 Redis 7 之间对比： Redis6 和 Redis7 最大的区别就在于 Redis7 已经用 listpack 替代了 ziplist. 以下是基于 Redis 7基础分析。 RedisObject Redis是⼀个<k,v>型的数据库，其中key通常都是string类型的字符串对象，⽽…...

编程日记 2025/6/27 20:55:03

机器学习之RLHF（人类反馈强化学习）

RLHF（Reinforcement Learning with Human Feedback，基于人类反馈的强化学习）是一种结合人类反馈和强化学习（RL）技术的算法，旨在通过人类的评价和偏好优化智能体的行为，使其更符合人类期望。这种方法近年来在大规模语言模型（如 OpenAI 的 GPT 系列）训练中取得了显著成…...

编程日记 2025/6/27 20:12:02

openwrt利用nftables在校园网环境下开启nat6 (ipv6 nat)

年初写过一篇openwrt在校园网环境下开启ipv6 nat的文章，利用ip6tables控制ipv6的流量。然而从OpenWrt22版本开始，系统内置的防火墙变为nftables，因此配置方法有所改变。本文主要参考了OpenWRT使用nftables实现IPv6 NAT 这篇文章。友情提示 …...

编程日记 2025/6/28 21:03:05

Vue3+node.js实现注册

文章目录前端代码实现后端代码实现效果图前端代码实现 <template><div class"register-container"><el-card class"register-card"><template #header><div class"card-header"><span>注册</span&…...

编程日记 2025/6/27 20:53:03

LabVIEW将TXT文本转换为CSV格式（多行多列）

在LabVIEW中，将TXT格式的文本文件内容转换为Excel格式（即CSV文件）是一项常见的数据处理任务，适用于将以制表符、空格或其他分隔符分隔的数据格式化为可用于电子表格分析的形式。以下是将TXT文件转换为Excel（CSV&#x…...

编程日记 2025/6/27 20:12:10

SpringBoot源码-Spring Boot启动时控制台为何会打印logo以及自定义banner.txt文件控制台打印

1.当我们启动一个SpringBoot项目的时候，入口程序就是main方法，而在main方法中就执行了一个run方法。 SpringBootApplication public class StartApp {public static void main(String[] args) {// testSpringApplication.run(StartApp.class);} }publi…...

编程日记 2025/6/27 21:05:09

【笔记】软技能

硬技能：操控世界的能力，处理对象为【物】。软技能：影响他人的能力，处理对象为【人】。软技能包括一个人的情商、个性、社交礼仪、沟通、语言、个人习惯，还有解决问题的能力、领导能力、时间管理能力等一切非技术能力。…...

编程日记 2025/6/27 18:45:43

试题转excel；试题整理工具；试卷转excel；word转excel

一、问题描述我父亲是一名教师，偶尔会需要将试卷转excel，方便管理处理一些特别重要的题目于是，就抽空写一个专门将试题转excel的工具，便于各位教师从业者和教育行业的朋友更好的整理试题，减少一点重复枯燥的工作 …...

编程日记 2025/6/27 19:09:19

【热门主题】000072 分布式数据库：开启数据管理新纪元

前言：哈喽，大家好，今天给大家分享一篇文章！并提供具体代码帮助大家深入理解，彻底掌握！创作不易，如果能帮助到大家或者给大家一些灵感和启发，欢迎收藏关注哦 💕 目录【热…...

编程日记 2025/6/27 21:06:59

常见靶场的搭建

漏洞靶场渗透测试（漏洞挖掘）切忌纸上谈兵，学习渗透测试（漏洞挖掘）知识的过程中，我们通常需要一个包含漏洞的测试环境来进行训练。而在非授权情况下，对于网站进行渗透测试攻击，是触及…...

编程日记 2025/6/27 0:41:10

C语言——链表

1 链表基础 1 什么是链表 ！！！链表相当于多个结构体变量链接在一起！！！ //链表节点结构 struct Node //数据域和指针域 {int data; //数据域//struct Student data;数据尽量不写在链表结构体里面&#xf…...

编程日记 2025/6/27 20:12:12

【经典】星空主题的注册界面HTML,CSS,JS

目录界面展示完整代码说明： 这是一个简单的星空主题的注册界面，使用了 HTML 和 CSS 来实现一个背景为星空效果的注册页面。界面展示完整代码 <!DOCTYPE html> <html lang"zh"> <head><meta charset"UTF-8&…...

编程日记 2025/6/27 20:12:08

94.【C语言】解析预处理(2)

目录 1.带有副作用的宏参数代码一个判断最大值的宏代码运行结果分析 "副作用"的解释 2.宏替换规则解释 3.宏和函数的对比附一张对比表承接93.【C语言】解析预处理(1)文章 1.带有副作用的宏参数代码一个判断最大值的宏代码 #define MAX(a, b) (…...

编程日记 2025/6/27 20:55:09

（数据结构与算法）如何提高学习算法的效率？面试算法重点有哪些？面试需要哪些能力？

面试官眼中的求职者通过对你算法的考察！！！！ 缩进太多！！一般不要超过三层！！！缩进越少，bug越少；逻辑比较复杂，把这些包装成为函数&…...

编程日记 2025/6/27 20:17:12

STM32 BootLoader 刷新项目 (十二) Option Byte之FLASH_OPTCR-命令0x58

STM32 BootLoader 刷新项目 (十二) Option Byte之FLASH_OPTCR-命令0x58 STM32F407芯片的OPTION Byte全面解析 STM32F407芯片是STMicroelectronics推出的一款功能强大的微控制器，广泛应用于工业控制、通信和消费电子等领域。其中，OPTION Byte&#xff0…...

编程日记 2025/6/28 16:58:27

MySQL主从复制

华子目录实验环境准备修改配置文件实验主开启bin-log日志创建用于主从复制的用户master配置salve配置测试添加一台新的slave，如何实现数据的全部同步呢什么环境下主比较多，什么环境下从比较多？延迟复制测试并行复制gtid模式未启用gtid时…...

编程日记 2025/6/27 20:24:38

贝叶斯统计：高斯分布均值μ的后验分布推导

使用贝叶斯统计方法均值 ( μ \mu μ ) 的后验分布解析在贝叶斯统计中，后验分布表示在观察到数据后，对参数的更新后的信念。本篇文章将结合高斯分布的假设，详细解析均值 ( μ \mu μ ) 的后验分布推导过程，并对 ( μ \mu μ…...

编程日记 2025/6/27 20:21:16

linux常用指令都是工作中遇到的

前端打war包 jar -cvf dist.war *创建 WAR 文件的命令 jar -cvf dist.war * 用于将当前目录下的所有文件和文件夹打包成一个名为 dist.war 的 WAR 文件。以下是该命令的详细解释： jar: Java Archive 工具，用于创建 JAR、WAR 或 EAR 文件。 -c: 创建新的…...

编程日记 2025/6/27 22:17:19

亚马逊自研大语言模型 Olympus 即将亮相，或将在 LLM 竞赛中掀起新波澜

每周跟踪AI热点新闻动向和震撼发展想要探索生成式人工智能的前沿进展吗？订阅我们的简报，深入解析最新的技术突破、实际应用案例和未来的趋势。与全球数同行一同，从行业内部的深度分析和实用指南中受益。不要错过这个机会，成为AI领…...

编程日记 2025/6/27 20:13:56

droppath

DropPath 是一种用于正则化深度学习模型的技术，它在训练过程中随机丢弃路径（或者说随机让某些部分的输出变为零），从而增强模型的鲁棒性和泛化能力。代码解释： import torch import torch.nn as nn # 定义 DropPath…...

编程日记 2025/6/27 21:44:19

通信与网络安全之IPSEC

IPSec（IP Security）是IETF制定的为保证在Internet上传送数据的安全保密性能的三层隧道加密协议。IPSec在网络层对IP报文提供安全服务。IPSec协议本身定义了如何在IP数据包中增加字段来保证IP包的完整性、私有性和真实性，以及如何加密数据包。…...

编程日记 2025/6/27 22:12:42

Linux内核编译流程(Ubuntu24.04+Linux Kernel 6.8.12)

万恶的拯救者，使用Ubuntu没有声音，必须要自己修改一下Linux内核中的相关驱动逻辑才可以，所以被迫学习怎么修改内核&编译内核，记录如下准备工作下载Linux源码：在Linux发布页下载并使用gpg签名验证即&#xff1a…...

编程日记 2025/6/27 20:28:46

什么是GAN？

一、基本概念生成对抗网络（Generative Adversarial Network，GAN）是一种由两个神经网络共同组成深度学习模型：生成器（Generator）和判别器（Discriminator）。这两个网络通过对抗的方式…...

编程日记 2025/6/27 20:16:23

torch_geometric使用手册-Creating Graph Datasets（专题四）

虽然 PyG 已经提供了很多有用的数据集，但你可能希望创建自己的数据集，使用自己收集的数据或非公开的数据。自己实现数据集是非常简单的，你可能想查看源代码，了解各种数据集是如何实现的。然而，这里简要介绍一下如何设置你自己的数据集。我们提供了两个抽象类用于数据集…...

编程日记 2025/6/27 20:12:14

编程语言之Python

Python是一种高级编程语言，自其诞生以来，便因其简洁明了的语法、强大的功能和广泛的应用领域而备受青睐。以下是对Python的详细介绍，包括其历史、特点、应用领域，以及通过代码示例展示其语法、库、函数等关键概念。同时&#xff0…...

编程日记 2025/6/27 21:35:19

【Go】-调度器简介

目录数据结构 G M P 调度器启动创建 Goroutine 初始化结构体运行队列调度信息调度循环小结数据结构 Go的运行时调度器的三个重要组成部分 — 线程 M、Goroutine G 和处理器 P： 图 6-29 Go 语言调度器 G — 表示 Goroutine，它是一个待…...

编程日记 2025/6/27 21:51:22

在Ubuntu 22.04上设置Python 3的Jupyter Notebook

前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。点击跳转到网站。简介 Jupyter Notebook 是一个作为 Web 应用程序的交互式计算命令 shell。该工具可与多种语言一起使用，包括 Python、Julia…...

编程日记 2025/6/27 20:12:16

通讯专题4.1——CAN通信之计算机网络与现场总线

从通讯专题4开始，来学习CAN总线的内容。为了更好的学习CAN，先从计算机网络与现场总线开始了解。 1 计算机网络体系的结构在我们生活当中，有许多的网络，如交通网（铁路、公路等）、通信网（电信、…...

编程日记 2025/6/26 23:24:38

1. 漏洞结果

1.1 漏洞扫描截图

1.2 具体漏洞的 js 文件

1.3 参考博客

2. 定位漏洞

2.1 开始狡辩

2.2 漏洞甩脸

2.3 全局搜索

2.4 找到漏洞代码

3. 漏洞分析

3.1 检查是否使用了 YUI 的 Flash 组件

3.2 安全扫描报告

4. 解决办法

4.1 使用压缩后的文件

4.2 删除注释

5. Vue项目WebPack打包删除注释和console

5.1 安装 uglifyjs-webpack-plugin

5.2 vue.config.js 配置

6. 总结

相关文章：