discuz x2.5 严重安全问题

discuz后台提醒广大站长：
站点KEY是站点与云平台通信的验证密钥，若近期有危险操作泄漏站点KEY等信息，请点击“更换站点KEY”按钮。请谨慎使用此功能。

说明站点KEY是何等重要！

可是，footer.htm 文件中的这段代码，却将站点的重要信息暴露无遗！：
<!--{eval userappprompt();}-->
<!--{if $_G['basescript'] != 'userapp'}-->
<span id="scrolltop">{lang scrolltop}</span>
<script type="text/javascript">_attachEvent(window, 'scroll', function(){showTopLink();});checkBlind();</script>
<!--{/if}-->
<!--{eval output();}-->


经过解析后的网页源代码显示：
<!-- 删云平台 eval userappprompt() --><span id="scrolltop">回顶部</span>
<script type="text/javascript">_attachEvent(window, 'scroll', function(){showTopLink();});checkBlind();</script>
   <div id="discuz_tips" style="display:none;"></div>
   <script type="text/javascript">
    var discuzSId = '1712347';    // 这就是所谓的很重要的站点KEY
    var discuzVersion = 'X2.5'; //版本
    var discuzRelease = '20120901'; //最新版本日期
    var discuzApi = '0.6';
    var discuzIsFounder = '0';  //创始人ID
    var discuzFixbug = '25000002';  //不知道这是什么？
    var discuzAdminId = '0'; //管理员ID
    var discuzOpenId = '';
    var discuzUid = '17';    //这也是管理员ID
    var discuzGroupId = '0';
    var ts = '1356310833';  //不知道这是什么？
    var sig = 'c9790c33a4ea6e9905fbf3a663c66ef2';  //不知道这是什么？应该是密码之类
    var discuzTipsCVersion = '2';
   </script>
   <script src="http://discuz.gtimg.cn/cloud/scripts/discuz_tips.js?v=1" type="text/javascript" charset="UTF-8"></script>

这只有 x2.5 才会暴露，x2不会

例如
discuz.net 的站点KEY是 1000
??xw.net.cn 的站点KEY是 16323774
安全问题，就不再列举了

请官方注意

这个有点荒谬了哦。。
discuzSId   这个是站点id，不是key
下面 管理员id更加离谱，，你见过uid为 0 的用户啊？？？？？、

不是bug 哦！

m.king 发表于 2012-10-16 10:36
这个有点荒谬了哦。。
discuzSId   这个是站点id，不是key
下面 管理员id更加离谱，，你见过uid为 0 的用 ...

<script type="text/javascript">
                                var discuzSId = '1000';
                                var discuzVersion = 'X2.5';
                                var discuzRelease = '20120901';
                                var discuzApi = '0.6';
                                var discuzIsFounder = '';
                                var discuzFixbug = '25000002';
                                var discuzAdminId = '0';
                                var discuzOpenId = '';
                                var discuzUid = '1849894';
                                var discuzGroupId = '16';
                                var ts = '1350356678';
                                var sig = '60e231e952d042e35345a1823f4bcbb1';
                                var discuzTipsCVersion = '2';
                        </script>

这些是什么？

还有为什么“伪静态”要和这个关联？不使用云平台，网站就无法伪静态？

原因在哪里？？

sid和sitekey是不一样的

mark35 发表于 2012-10-16 19:04
sid和sitekey是不一样的

虚惊一场，就是discuz后台的“技巧提示”吓了一跳，以为这就是呢。。。。。

不涉及安全问题就很好