semcms是中国第一个开源系统出口外贸的cms系统，现阶段大部分的外贸平台全是用的semcms系统软件，该系统软件适配很多电脑浏览器，像IE,google,360极速浏览器都能很好的适配，官方网semcms有php版本号，asp版本号,我们SINE对其网站安全检测服务后的另外发现该系统软件存有高风险的平台网站系统漏洞，该系统漏洞危害版本号semcms2.62.72.8,包含现阶段最新消息的semcms3.2版本号系统漏洞。
我们来下载最新版本的semcms系统软件到我们当地电脑上，开启发觉平台网站选用的是php+mysql构架开发设计的系统软件，phpstudy配备PHP自然环境及其mysql数据库查询自然环境，网站建站起來，以下图，这一是前端开发：
这一是平台网站的后台管理系统软件：
该系统漏洞是在平台网站商品的留言板留言作用里发觉的，存有着XSS跨站系统漏洞，点一下外贸询盘我们抓包看来下数据文件里的內容，发觉能够 变更tile题目这一值，根据改动留言板留言题目的这一值我们仿冒发送至服务端去，并随后登陆网站后台管理查询到留言板留言，并实行了我们的XSS编码，结构的编码以下：
title=安全测试
">&content=666666&Company=&Name=6666&mail=666qq.com&Phone=13666666666&Fax=&Region=66666666&Home=&yzm=1234&Submit=Submit
我们立即post以往，见到html标识栏里是不是存有xss系统漏洞，semcms早已过虑了一些常见的XSS编码，因此一些简易的弹出窗口检测系统漏洞都屏蔽掉，只有应用一些数据加密的独特xss跨站编码。我们来结构一下能够 获得管理人员的cookies值的一个编码：
当我们推送以往后，发觉平台网站会过虑掉一些//号，可是能够 编号64位数据加密避过立即post递交以往。数据加密能够 避过的编码：
推送以往我们发觉操作成功并取得成功获得来到平台网站的管理人员cookies值，我们运用cookies开展登陆
后台管理，随后就能够 发送一切文档了。
平台网站漏洞补丁预防措施
对于在此semcms漏洞补丁的预防措施要过虑一些xss跨站进攻编码针对post数据文件的过虑,要再编程代码的接收端开展过虑或转义，或对网站后台管理文件目录开展二级文件目录系统验证立即获得了cookies值也没法运用！假如对编程代码程序流程不了解得话提议找专业做网站安全公司的企业来解决处理。