关键信息总结 漏洞详情 漏洞类型: XSS (跨站脚本攻击) 受影响软件: ntopng 1.2.0 修复版本: ntopng 1.2.1 漏洞描述: - ntopng的Web前端存在XSS注入漏洞，通过伪造HTTP Host请求头可以在被监控的网络流量中注入脚本代码。 - HTTP Host请求头行通过nDPI流量分类库提取，并在前端的多个位置（如主机概览和每个被监控主机的特定子页面）未进行过滤使用。 - 注入的代码可用于在当前ntopng用户的权限下执行JavaScript，从而执行管理操作，如禁用监控功能或删除账户，使监控系统无法使用。 漏洞利用示例 提供了一个Python脚本示例，用于在被监控网络上执行XSS攻击，受害者需要在ntopng前端浏览主机概览/主机详细信息。 其他影响 其他可能受影响的代码: 其他使用nDPI代码的用户也可能受到影响。 漏洞识别 CVE编号: CVE-2014-5464 发现者: Steffen Bauch 相关链接 ntopng修复公告 Steffen Bauch的Twitter账号: @steffenbauch Steffen Bauch的个人网站: http://stef Aus: [http://stef Aus - Steffen Bauch的个人网站: http://stef Aus - Steffen Bauch的个人网站: http://stef Aus - Steffen Bauch的个人网站: http://stef Aus - Steffen Bauch的个人网站: http://stef Aus