10秒后自動(dòng)關(guān)閉
MyBB論壇最新跨站腳本漏洞(CNVD-2024-46255、CVE-2024-52702)

MyBB是一款免費(fèi)、開源,在國(guó)際上非常優(yōu)秀的免費(fèi)論壇軟件。該論壇最大的特色是簡(jiǎn)單但是功能卻出奇的強(qiáng)大,并且支持多國(guó)語(yǔ)言(中文版、英文版等等)。


國(guó)家信息安全漏洞共享平臺(tái)于2024-11-27公布該程序存在跨站腳本漏洞。

漏洞編號(hào):CNVD-2024-46255、CVE-2024-52702

影響產(chǎn)品:MyBB v1.8.38

漏洞級(jí)別

公布時(shí)間:2024-11-27

漏洞描述:該漏洞位于文件 install\index.php 中,對(duì) websitename 參數(shù)過(guò)濾不充分導(dǎo)致。攻擊者可以利用該漏洞,通過(guò)修改websitename的值來(lái)執(zhí)行任意Web腳本或HTML代碼,以獲取敏感信息或劫持用戶會(huì)話。


解決辦法:

這其實(shí)都不算漏洞,論壇一經(jīng)安裝后,就不會(huì)再訪問(wèn)安裝頁(yè)面( install\index.php ),因此我們只需要刪除install目錄即可。

同時(shí)也可以使用『護(hù)衛(wèi)神·防入侵系統(tǒng)』的SQL注入防護(hù)模塊來(lái)解決該漏洞問(wèn)題,該模塊除了防SQL注入,還可以防跨站腳本漏洞。不止對(duì)該漏洞有效,對(duì)網(wǎng)站所有SQL注入和跨腳本漏洞都可以防護(hù)。



1、SQL注入防護(hù)和XSS跨站攻擊防護(hù)

護(hù)衛(wèi)神·防入侵系統(tǒng)』自帶的SQL注入防護(hù)模塊(如圖一)除了攔截SQL注入,還可以攔截xss跨站腳本,一并解決MyBB論壇的其他安全漏洞,攔截效果如圖四。


SQL注入防護(hù)模塊

(圖一:SQL注入防護(hù)模塊)



xss攻擊防護(hù)

(圖二:XSS跨站腳本攻擊防護(hù))



SQL注入攔截效果

(圖三:SQL注入攔截效果)



2、防篡改保護(hù)

如果對(duì)安全要求較高,還可以使用『護(hù)衛(wèi)神·防入侵系統(tǒng)』系統(tǒng)的“篡改防護(hù)”模塊,對(duì)MyBB論壇做防篡改保護(hù)。

在“篡改防護(hù)-添加CMS防護(hù)”(如圖五)。選擇網(wǎng)站目錄,安全模板選擇“MyBB論壇安全模板”,并填寫正確的后臺(tái)地址,點(diǎn)擊“確定”按鈕,就添加好了。

護(hù)衛(wèi)神.防入侵系統(tǒng)內(nèi)置有MyBB論壇的篡改防護(hù)規(guī)則,只需簡(jiǎn)單設(shè)置即可解決,非常方便!

添加MyBB論壇防篡改規(guī)則

(圖五:添加MyBB論壇防篡改規(guī)則)



設(shè)置好以后,防入侵系統(tǒng)就會(huì)對(duì)后臺(tái)進(jìn)行保護(hù),后期訪問(wèn)時(shí)需要先驗(yàn)證授權(quán)密碼(如圖六),只有輸入了正確的密碼才能訪問(wèn)。

網(wǎng)站后臺(tái)保護(hù)

(圖六:訪問(wèn)后臺(tái)需要輸入授權(quán)密碼)

陈工
符工

微信请微信扫码

客服热线客服热线:028-8954-99997*24热线:180-8092-3400