请选择 进入手机版 | 继续访问电脑版

吾爱汇站网官方联系方式

工作时间: 周一到周五早上09:00-11:00, 下午03:00-05:00, 晚上20:30-22:30(周六、日休息)
QQ: 211985957  168528823  97147700  53150916 汇聚、帮助、交流   E-Mail: postmaster@5ihz.cn
用户交流QQ群
1群21532443 2群413446685 ←提醒:请勿重复加群,谢谢!(本站提供低价收费技术服务,详情联系在线客服)
查看: 4279|回复: 26

discuz被挂马 快照被劫持该如何处理

[复制链接]

15

主题

248

帖子

473

积分

银牌会员(月)

Rank: 3Rank: 3

积分
473
发表于 2019-3-9 16:27:12 | 显示全部楼层 |阅读模式
      Discuz 3.4是目前discuz论坛的最新版本,也是继X3.2、X3.3来,最稳定的社区论坛系统。目前官方已经停止对老版本的补丁更新与升级,直接在X3.4上更新了,最近我们SINE安全在对其安全检测的时候,发现网站漏洞,该漏洞是由于用户登录论坛的时候调用的微信接口,导致可以进行任意登录,甚至可以登录到管理员的账号里去。

关于Discuz漏洞详情
   
      漏洞的产生是在plugin文件夹下的wechat目录里的wechat.inc.php代码中的220-240行的代码里,代码如下:

discuz被挂马 快照被劫持该如何处理

   
      我们可以看到代码里的逻辑功能设计师如何,首先会从会员的这个数据表里进行查询微信接口的ID,是否在会员表里有相对应,并绑定好的会员账号,如果有数据库返回数据给前端。然后再进行下一步,从common这个表里进行获取会员uID值的用户ID,以及用户的所有信息。
   
      根据discuz的设计逻辑,我们可以看出只要知道了用户使用微信接口openid就能登录到其他用户的账户里面去,我们仔细的看下discuz关于微信API接口这个文档,openid这个值是不变的,只有用户将微信号绑定到论坛里,才能从公众号中获取到这个openid值,正常的请求下是获取不到这个值的。
  
      那么我们就可以伪造参数对其进行登录尝试,安全测试看下是否会获取到其他人的openid值来,我们用id为空的一个用户进行登录,发现可以登录但是并没有绑定任何的论坛账号,但注册了一个新的账户到了论坛里。从整个的逻辑代码中,我们发现了漏洞,可以解除任意ID绑定的微信,然后我们再来登录openid为空的账号,我们发现可以登录任何会员的账户了。截图如下:

discuz被挂马 快照被劫持该如何处理

   
如果管理员的账户绑定了微信登录,那我们就可以解除他绑定的ID,我们用空ID登录就可以进到管理员账号里了。关于discuz网站漏洞的修复,建议网站的管理者对代码进行删除,在plugin/wechat/wechat.inc.php里的230行到247行代码全部注释掉即可。网站漏洞的修复,可以对比程序系统的版本进行升级,也可以找程序员进行修复,如果是你自己写的网站熟悉还好,不是自己写的,建议找专业的网站安全公司来处理解决网站被篡改的问题,像Sinesafe,绿盟那些专门做网站安全防护的安全服务商来帮忙。
回复

使用道具 举报

11

主题

239

帖子

501

积分

高级会员

Rank: 4

积分
501
发表于 2019-3-9 16:28:33 | 显示全部楼层
【吾爱汇站网】加油,我们都看好你哦,快分享更多好资源吧!
回复

使用道具 举报

1

主题

220

帖子

453

积分

高级会员

Rank: 4

积分
453
发表于 2019-3-9 17:37:46 | 显示全部楼层
我靠,终于找到这个了
回复

使用道具 举报

头像被屏蔽

2

主题

216

帖子

452

积分

禁止发言

积分
452
发表于 2019-3-9 17:55:55 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
回复

使用道具 举报

9

主题

222

帖子

467

积分

高级会员

Rank: 4

积分
467
发表于 2019-3-9 18:38:53 | 显示全部楼层
不错 支持下
回复

使用道具 举报

0

主题

196

帖子

410

积分

高级会员

Rank: 4

积分
410
发表于 2019-3-9 18:41:14 | 显示全部楼层
这个也不错的哦
回复

使用道具 举报

kayozhao 该用户已被删除
发表于 2019-3-9 19:59:05 | 显示全部楼层
提示: 作者被禁止或删除 内容自动屏蔽
回复

使用道具 举报

1

主题

228

帖子

473

积分

高级会员

Rank: 4

积分
473
发表于 2019-3-10 06:41:13 | 显示全部楼层
下载了,谢了
回复

使用道具 举报

5

主题

214

帖子

453

积分

高级会员

Rank: 4

积分
453
发表于 2019-3-10 11:58:08 | 显示全部楼层
真是难得给力的资源啊!支持【吾爱汇站网】!
回复

使用道具 举报

21

主题

246

帖子

525

积分

高级会员

Rank: 4

积分
525
发表于 2019-3-11 07:11:36 | 显示全部楼层
我是来看看的
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则


快速回复 返回顶部 返回列表