rabbitmq出现jQuery漏洞——CVE-2020-11022/CVE-2020-11023
时间: 2025-07-08 12:45:26 AIGC 浏览: 57
### RabbitMQ 中 jQuery 漏洞 CVE-2020-11022 和 CVE-2020-11023 的修复方法
RabbitMQ 提供了一个基于 Web 的管理界面（Management Plugin），该界面依赖于前端库（如 jQuery）来实现用户交互。CVE-2020-11022 和 CVE-2020-11023 是 jQuery 3.5.0 及以下版本中存在的安全漏洞，可能导致跨站脚本攻击（XSS）或执行恶意脚本[^2]。
由于 RabbitMQ 的官方镜像通常使用固定版本的前端资源，并且不提供直接更新前端库的机制，因此无法通过常规方式直接升级 jQuery。不过可以通过以下几种方式进行缓解和修复：
#### 替换管理插件中的 jQuery 文件
RabbitMQ 的管理插件前端文件位于容器内的 `/usr/lib/rabbitmq/lib/rabbitmq_server-<version>/plugins/rabbitmq_management-<version>/priv/www` 路径下。可以将其中的 `jquery.min.js` 替换为 jQuery 3.5.1 或更高版本的文件，具体步骤如下：
```bash
# 进入运行中的容器
docker exec -it rabbitmq sh
# 定位到 jQuery 文件所在目录
cd /usr/lib/rabbitmq/lib/rabbitmq_server-*/plugins/rabbitmq_management-*/priv/www/js/libs/
# 备份旧文件
mv jquery.min.js jquery.min.js.bak
# 下载并替换为新版 jQuery
wget https://code.jquery.com/jquery-3.6.0.min.js -O jquery.min.js
```
完成替换后，重启 RabbitMQ 容器以使更改生效：
```bash
docker restart rabbitmq
```
此方法可有效解决 jQuery 相关漏洞带来的风险，但需注意每次升级 RabbitMQ 镜像时都需要重新执行该操作。
#### 禁用管理插件并使用 API 接口替代
如果不需要使用 RabbitMQ 的 Web 管理界面，可以禁用 Management Plugin 以彻底消除前端组件的安全隐患：
```bash
docker exec -it rabbitmq rabbitmq-plugins disable rabbitmq_management
```
随后可通过 RabbitMQ 提供的 HTTP API 进行管理和监控操作，例如获取队列信息：
```bash
curl -u admin:securepassword http://localhost:15672/api/queues
```
这种方式适用于仅需程序访问而无需人工登录的生产环境，能显著降低攻击面[^1]。
#### 使用反向代理限制访问并注入 CSP 头
在部署 RabbitMQ 的环境中配置反向代理（如 Nginx 或 Traefik），并通过响应头注入内容安全策略（Content-Security-Policy），防止恶意脚本执行：
```nginx
location / {
proxy_pass http://rabbitmq_container;
add_header Content-Security-Policy "script-src 'self'";
}
```
这样即使存在 jQuery 漏洞，也能阻止外部脚本加载和执行，增强整体安全性[^3]。
###
阅读全文
相关推荐
大家在看
C# Rest方式访问Hbase Microsoft.HBase.Client
C# 使用Microsoft.HBase.Client类库以Rest方式访问HBase数据库。实现了基本的增、删、改、查操作。方便新手入门学习。同时提供了Microsoft.HBase.Client源码。这源码是微软提供的，微软已经拥抱开源。
基于STM32 HAL库的 AD7606驱动代码及相关文档
此文件是基于STM32 HAL库的 AD7606驱动代码及相关文档，希望此代码对您有所帮助。
若有疑问，请添加readme中的联系方式，进行进一步交流探讨。
新版3Dmax中导出.x文件2020版64位
使用Axe_free_v2.2.5_max2020_x64.dle插件，可以直接从3Dmax中导出.x文件，由于2012之后版本无法使用panda插件，推荐使用这个axefree。
swift报文规范 中文版 2018年11月升级前的版本
swift报文规范，该版本是2018年11月升级前的版本，电子版方便携带，中文版方便阅读
ispVM18.1.1
lattice 下载工具 ispVM tool FPGA/CPLD烧写工具，并口及适配器通用FPGA/CPLD烧写工具，并口及适配器通用
最新推荐
最新最全rabbitmq与erlang版本匹配-2020-04-23.docx
使用这些版本的用户应升级到更高版本，以避免已知的安全漏洞，如ROBOT攻击（CVE-2017-1000385）。 - Erlang 19.3.6.4之前的版本存在已知问题，如ERL-430和ERL-448，可能导致RabbitMQ节点无法接受连接，包括来自CLI...
2020面试真题Java+大数据--杭州
- **RabbitMQ**是基于AMQP协议的消息队列，用于异步处理和解耦组件。 - **Kafka**是高吞吐量的分布式消息发布订阅系统，常用于日志收集和流处理。 - **Zookeeper**是一个分布式协调服务，用于分布式应用的数据...
IEEE1588PTPdaemonforSTM32F4Discoveryboard.zip
IEEE1588PTPdaemonforSTM32F4Discoveryboard.zip
bls-wasm：Node.js下WebAssembly实现的BLS签名技术
### 知识点说明
#### 标题解析
- **WebAssembly**: 是一种新的代码执行格式，旨在提供一种在现代浏览器和服务器上都能运行的安全、快速的代码执行方式。WebAssembly最初的目标是让网页可以运行高性能的应用程序，比如游戏或视频编辑工具，但随着技术的发展，其应用场景已经扩展到服务器端。Node.js通过引入WebAssembly支持，使得可以在其环境中利用WebAssembly的能力执行高度优化的代码。
- **Node.js**: 是一个基于Chrome V8引擎的JavaScript运行环境，它执行JavaScript代码不需要浏览器支持。Node.js被设计为能够构建快速、可扩展的网络应用程序，尤其擅长处理大量并发连接的场景。
- **BLS签名**：BLS（Boneh-Lynn-Shacham）签名是一种基于密码学的签名方案。它在安全性、效率和功能上优于传统的ECDSA和RSA签名算法。BLS签名特别适合于区块链等需要快速验证大量签名的场景。
#### 描述解析
- **密钥和签名模型**: 描述了BLS签名方案中的基本要素：`Fr：SecretKey` 表示秘密密钥，而 `G2：PublicKey` 表示公钥。G1用于表示签名。在密码学中，密钥和签名的生成、使用和管理是确保系统安全的基础。
- **以太坊2.0兼容性**: 提到如果需要与以太坊2.0兼容的签名/验证，需要参考某些文档或指南。这暗示了`bls-wasm`库在区块链领域的重要性，特别是针对以太坊这样的平台，其正在向2.0版本升级，而新的版本将会使用BLS签名来改进网络的安全性和性能。
#### 使用指南
- **Node.js使用**: 通过`require('bls-wasm')`语句引入模块，展示了如何在Node.js环境中集成`bls-wasm`模块。
- **浏览器使用**: 对于在浏览器中使用，需要引入`bls.js`，并且通过`require('bls-wasm/browser')`的方式引入。这反映了WebAssembly模块的跨平台特点，能够适应不同的运行环境。
- **React使用**: 通过类似的方式`const bls = require('bls-wasm/browser')`说明了在React项目中如何集成`bls-wasm`。
- **版本兼容性**: 提到v0.4.2版本破坏了入口点的向后兼容性，意味着从这个版本开始，库的API可能发生了变更，需要开发者注意更新。
#### 执照信息
- **修改了新的执照**: 说明了关于软件许可证的新变化，暗示了库的许可证可能由之前的版本有所更新，需要用户关注和遵守新的许可证条款。
#### 压缩包文件信息
- **bls-wasm-master**: 由于提供了压缩包文件的名称列表，暗示了一个名为`bls-wasm`的项目，可能包含源代码、编译后的文件、文档等。
### 知识点的深入拓展
#### WebAssembly在Node.js中的应用
WebAssembly在Node.js中的主要优势在于性能的提升，特别是在处理CPU密集型任务时。WebAssembly模块可以运行C/C++、Rust等语言编写的代码，并且这些代码在WebAssembly的沙盒环境中执行得非常快。
#### BLS签名在区块链中的作用
区块链技术依赖于密码学来确保交易的安全性和验证性。BLS签名因其在密钥长度、签名长度、签名速度以及多签性能等方面的优点，非常适合被用于区块链网络。它允许验证者更快地验证交易，并提高了区块链的处理能力。
#### Node.js环境下的安全实践
在Node.js环境中使用BLS签名或任何加密算法时，应当遵循安全实践，例如确保密钥的安全管理，避免在不安全的通道中传输密钥，以及定期更新和轮换密钥等。
#### 跨平台兼容性的重要性
对于WebAssembly模块来说，能够在不同的环境（如Node.js、浏览器、React应用等）中无缝工作是至关重要的。开发者需要关注不同平台间的API差异和兼容性问题。
#### 软件许可证的遵守
软件许可证规定了开发者如何使用该软件，以及他们可以对软件进行哪些修改和分发。遵循许可证的规定不仅可以避免法律风险，还可以确保代码的使用和传播不会侵犯原作者的权益。
综上所述，`bls-wasm`模块作为一个在WebAssembly环境下运行的BLS签名工具，为Node.js和Web开发者提供了强大的密码学能力，特别是对于希望支持以太坊2.0等区块链技术的项目。开发者在使用这类工具时，需要关注性能、兼容性、安全性和许可证等多方面的要求。
提升Linux终端使用效率的实用指南
### 提升 Linux 终端使用效率的实用指南
#### 1. i3wm 窗口管理基础操作
在 i3wm 中，创建新的窗口块（tiles）就等同于打开应用程序，因为所有应用程序都以窗口块的形式呈现在窗口管理器的网格中。
- **创建窗口块**：
- 打开终端：使用 `win + enter`。
- 打开其他应用程序：按下 `win + d`，屏幕左上角会弹出一个小对话框，输入应用程序名称，对话框会显示自动补全状态，当显示目标程序时，按下“打开”，应用程序将以窗口块形式打开。
- **窗口块布局调整**：
- 打开更多应用程序会在工作区自动创建更多窗口块，并在网格中分
现有以下数据： String[] keyAry: [{"fields":[{"name":"类型"}, {"name":"中问题", "width":"400px"}, {"name":"小问题", "width":"400px"}]}] String[] value: [{"fieldvalues":[{"value":"人员","row":0,"col":0},{"value":"1","row":0,"col":1},{"value":"1","row":0,"col":2}]},{"fieldvalues":[{"value":"设施","row":1,"col":0},{"value":"2","row":1,"col":1},{"value":"2","row":1,"col":2}]}] 请使用java语言将以上数据转化为word的表格，具体格式如下： 类型 中问题 小问题 人员 1 1 设施 2 2 其中，表格第一行是keyAry数组的name属性，value数组中每个fieldvalues属性作为一行
<think>
我们使用Apache POI库来操作Word文档生成表格。
步骤：
1. 创建文档对象，并创建一个表格。
2. 首先，我们创建表头行（第一行），遍历keyAry数组，取出每个元素的name属性作为表头单元格的内容。
3. 然后，遍历value数组，每个元素代表一行数据。每个元素有一个fieldvalues数组，这个数组中的每个元素对应一个单元格。
4. 注意：keyAry数组的长度应该与fieldvalues数组的长度一致，因为它们分别代表列名和每列的值。
假设数据结构如下：
keyAry: 数组，每个元素是一个对象，对象有name属性（表头名称）
v
2000年代初的粉丝创神奇宝贝网站回顾
标题和描述中提到的“jps1:杰西（Jesse）基于粉丝的终极口袋妖怪网站（2000-2001）”反映了以下几个重要知识点：
1. 网站建设与维护的早期阶段：从2000到2001年的时间段中，互联网技术正处于快速发展时期，而杰西（Jesse）创建的这个口袋妖怪主题网站，可以被视作个人站长时代的早期代表作。这代表了早期网络用户利用有限资源进行个人兴趣爱好的分享和推广。
2. 基于粉丝的互动平台：这个网站明确指出是基于粉丝而创建的，这表明了网络社区中粉丝文化的存在和影响力。在那个时期，围绕特定兴趣（如口袋妖怪）形成的粉丝群体，通过这些网站交流信息、分享资源，这种基于共同兴趣建立的社区模式对后来的社交媒体和粉丝经济有着深远影响。
3. 个人网站的存档意义：杰西（Jesse）在描述中提到了出于存档目的而发布，这说明了这个网站对于网络历史保存的重要性。随着互联网内容的快速更迭，个人网站往往由于服务器迁移、技术更新等原因而丢失，因此存档个人网站是对互联网文化遗产的一种保护。
关于标签“JavaScript”，它指向了一个重要的知识点：
4. JavaScript在网络技术中的作用：标签“JavaScript”点出了该网站使用了JavaScript技术。作为早期的动态网页脚本语言，JavaScript在提高用户交互体验、网页特效实现等方面发挥了关键作用。尽管该网站发布的年份较早，但极有可能包含了一些基础的JavaScript代码，用于实现动态效果和基本的客户端交互。
至于“压缩包子文件的文件名称列表”中的“jps1-gh-pages”，它暗示了以下知识点：
5. GitHub Pages的使用：GitHub Pages是GitHub提供的一项服务，允许用户将网站内容部署到一个独立的域名下，通过“jps1-gh-pages”文件名我们可以推测，这个口袋妖怪网站可能是被部署在GitHub Pages上的。这表明了即使在早期，个人站长已经开始利用现代网络服务来托管和分享他们的项目。
6. 压缩文件的作用：文件名称中的“压缩”二字意味着该网站的文件内容可能是经过压缩处理的，这可能是为了便于存储和传输。在互联网早期，由于带宽和存储空间的限制，压缩文件是一种常见的数据管理手段。
总结以上知识点，可以归纳为：
- 网站建设与维护的早期案例，以及个人站长时代的特点。
- 基于粉丝文化的网络社区，及其对后来社交媒体的影响。
- 个人网站的存档价值和对互联网文化遗产的贡献。
- JavaScript的早期应用以及它在改善用户交互体验方面的重要性。
- GitHub Pages的使用案例，以及压缩技术在网络数据管理中的应用。
从这些知识点可以看出，即便是早期的个人网站项目，也蕴含了丰富的技术和文化内涵，为理解互联网的发展和应用提供了重要的视角。
Linux终端实用工具与技巧
# Linux 终端实用工具与技巧
## 1. gnuplot 绘图与导出
### 1.1 绘制方程图形
任何方程都可以用特定方式绘制图形。例如，一个斜率为 5、y 轴截距为 3 的直线方程，可使用以下命令生成图形：
```bash
plot 5*x + 3
```
### 1.2 导出图形为图像文件
虽然能在终端显示图表，但多数情况下，我们希望将图表导出为图像，用于报告或演示。可按以下步骤将 gnuplot 设置为导出图像文件：
1. 切换到 png 模式：
```bash
set terminal png
```
2. 指定图像文件的输出位置，否则屏幕将显示未处理的原始 png 数据：
华为310散热
<think>
嗯，用户想了解华为昇腾310处理器的散热解决方案，我需要从提供的引用材料中提取相关信息。首先查看引用[1]，里面提到Atlas 500智能小站使用了TEC半导体制冷技术，这项技术具有无风扇、低功耗和高可靠性的特点。虽然这是Atlas 500的设备，但考虑到昇腾310芯片的应用场景，很可能采用了相似的散热方案。
再看引用[2]中关于CloudEngine 16800交换机的散热描述，这里提到了两项关键技术：碳纳米导热垫和VC相变散热。虽然这是交换机产品，但散热原理应该可以迁移到AI处理器场景。特别是VC相变散热技术的高效热传导特性，对昇腾310这样的高密度芯片应该很适用。
引
VB提取EXE/DLL文件中所有图标的教程与源码
在深入探讨这个知识点之前，我们需要对VB（Visual Basic）有所了解。VB是一种广泛使用的编程语言，最初由微软公司开发，它属于事件驱动编程语言的一部分。随着技术的发展，VB已经演变出多个版本，其中包括较为人熟知的VB6和VB.NET。VB在开发Windows应用程序方面有着广泛的应用，因为其简洁的语法和可视化的开发环境使得编程变得相对容易。
【知识点】：
1. VB源码解析： VB源码通常包含对某个特定任务的指令集。在这个案例中，源码是用于从可执行的EXE文件和动态链接库（DLL）文件中提取ICO图标。这个程序允许用户选择一个快捷方式打开的应用程序（例如桌面上的Word快捷方式），通过解析快捷方式，程序能够找到实际的可执行文件，并从中提取图标资源。
2. 系统相关知识：了解Windows操作系统的工作原理对于这类任务至关重要。Windows操作系统将图标作为资源存储在可执行文件和DLL文件中。资源是二进制文件内的一部分，包含图像、字符串、菜单和其他可加载的元素。使用VB程序能够访问和操作这些资源，允许开发者或用户提取出图标资源。
3. ICO与图标处理：ICO文件是Windows系统中图标图像的文件格式。图标可以有不同的尺寸和颜色深度，通常用于表示文件、文件夹或程序。在VB程序中，提取的图标会被以ICO格式保存，这样可以确保在不同的应用程序中被识别和使用。
4. 图标提取程序的实现：要提取EXE文件中的图标，VB程序需要执行几个关键步骤。首先，程序需要打开目标EXE文件，并读取其内部的资源表。接着，程序要查找资源表中与图标相关的条目。通常，这些图标资源可以通过一个编号或名称被识别。然后，程序将这些图标资源读取出来，并保存为独立的ICO文件。在读取过程中，开发者可能需要使用Windows API（应用程序编程接口）函数来处理各种底层操作，例如打开文件、读取资源和关闭文件等。
5. VB中的用户界面元素：为了实现从EXE文件提取图标的功能，VB程序需要提供一个用户界面，允许用户选择快捷方式并显示提取出的图标列表。这通常涉及到使用VB中的控件，如列表框（ListBox）或图像框（PictureBox）来显示图标，使用滚动条（Scrollbar）来浏览不同图标，以及统计图标数量的逻辑。
6. 可能的编程实现和挑战：实现这个功能可能会遇到的挑战包括了解如何操作Windows资源，熟悉Windows API，以及处理可能出现的异常情况，例如用户选择的不是有效的可执行文件。程序员需要编写错误处理逻辑来确保程序的稳定性。此外，针对不同的操作系统版本（比如32位与64位），资源读取方式可能有所不同，因此程序可能需要考虑兼容性问题。
7. 关于文件名称"okbase.net"的讨论：虽然在给出的信息中并未提供具体的VB源代码或进一步的说明，文件名称"okbase.net"可能指向一个提供源代码下载、技术讨论或者知识共享的网站。"okbase.net"作为一个资源网站，可能会有各种类型的资源文件，包括我们这里讨论的VB源代码。开发者可以访问这类网站来获取所需的代码、库或其他开发资源。
总体而言，VB从EXE文件提取图标的功能展示了一个有趣且实用的应用，它涉及到了编程、操作系统原理以及图形用户界面的设计。对于那些对Windows编程感兴趣的开发者来说，这是一个很有教育意义的项目。