今天客户收到网站安全漏洞检测报告pdf的通知。于是联系我们 360° 网站安全加固

内容如下

天融信安全云服务运营中心对您的网站进行了全面漏洞检测，发现高危风险漏洞

10个，中危风险漏洞16个，低危风险漏洞6个，同时检测发现您的网站不存在被入侵痕迹。

综上，天融信安全专家团队根据检测数据分析，您的网站安全级别为：较差。

专家建议：

第1章安全漏洞检测详情

1.1 按风险等级统计

通过检测，发现您的网站共存在10个高危风险漏洞，16个中危风险漏洞，6个低危风险漏洞。各风险等级安全漏洞分布情况如下图所示：

通过检测，发现您的网站配置不当漏洞15个，信息泄露漏洞5个，跨站脚本漏洞10个，代码编程漏洞漏洞2个，各类安全漏洞数量及分布情况如下图所示：

漏洞名称：	XSS跨站脚本	风险等级：	高危
漏洞类型：	跨站脚本
问题URL	http://www.XXXXXXX.com.cn/en/news.php
测试用例：	URL encoded GET input tid was set to 26'"()&%<acx><ScRiPt >G9E1(9339)</ScRiPt>
	GET /en/news.php?tid=29'"()%26%25<acx><ScRiPt%20>Djjg(9568)</ScRiPt> HTTP/1.1 Referer: http://www.xxxxxx.com.cn Cookie: PHPSESSID=vini2c5ld961fo7bbnb2h4ons1; UM_distinctid=169372a9affa8-0e8ea773a-1e1c7f57-c0000-169372a9b0093; CNZZDATA3167435=cnzz_eid%3D1970566425-1551408734-http%253A%252F%252Fwww.xxxxx-referrer.com%252F%26ntime%3D1551408734; cna=dYz/FG3ERFkCAXt9FbKBoknD; sca=7164776c; atpsida=699f129edf772162ae0c1a9d_1551408757_1 Host: www.ruimi.com.cn Connection: Keep-alive Accept-Encoding: gzip,deflate User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21 Accept: /
漏洞描述：	XSS漏洞是影响最广危险最大的网页安全程序漏洞，这些攻击通常是以Java脚本的形式出现的，可以让黑客控制所有的网页。
解决方案：	1、对该页面的输入变量进行处理。使其不允许输入“<”、“>”、“'';!--"”、“{()}”、“\";”、“;//”等。并对上述变量的Unicode和HEX编码进行过滤。 2、对于用户输入的变量，以白名单的形式进行限制。
相关内容

漏洞名称：	Host头攻击	风险等级：	中危
漏洞类型：	配置不当
问题URL	http://www.xxxxxx.com.cn/brand.php
测试用例：	Host header evilhostbPBJAWoP.com was reflected inside an LINK tag (href attribute).
	GET http://www.xxxxxxx.com.cn/brand.php HTTP/1.1 Host: evilhostHYrbRxTO.com X-Forwarded-Host: evilhostHYrbRxTO.com Connection: Keep-alive Accept-Encoding: gzip,deflate User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21 Accept: /
漏洞描述：	攻击者可以在请求数据中操纵异常的主机标头，使得应用程序执行恶意代码。HOST头攻击容易遭遇到缓存污染和密码重置攻击。
解决方案：	如果必须使用host头作为一种识别web服务器位置的机制的话，建议使用包含有各个被允许的主机名的白名单来进行应对。
相关内容

漏洞名称：	脆弱的Javascript库	风险等级：	中危
漏洞类型：	代码编程漏洞
问题URL	http://www.xxxxxxxx.com.cn/static/js/jquery142.min.js
测试用例：	Detected Javascript library jquery version 1.4.2. The version was detected from file content. References: http://bugs.jquery.com/ticket/11290 http://research.insecurelabs.org/jquery/test/
	GET /static/js/jquery142.min.js HTTP/1.1 Pragma: no-cache Cache-Control: no-cache Referer: http://www.xxxxxx.com.cn/ Cookie: PHPSESSID=4m60edg42vilm13qsbqivtciu1 Host: www.ruimi.com.cn Connection: Keep-alive Accept-Encoding: gzip,deflate User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21 Accept: /
漏洞描述：	你正在使用一个易受攻击的Javascript库。针对此版本的JavaScript库报告了一个或多个漏洞。
解决方案：	升级Javascript版本到最新版，并针对此漏洞从官方网站部署相应的漏洞补丁。
相关内容