X2升级到X3.2后发现用户密码错误，所有用户都不能登陆！

X2升级到X3.2后发现用户密码错误，所有用户都不能登陆！半年前升级没有发现类似的问题，使用最新版升级就发现所有的用户都不能登陆了。
希望协助，谢谢！

论坛和uc都不能登录。

https://discuz.dismall.com/thread-3247274-1-1.html
修复工具重置管理员密码也不行。

先用老版本的程序覆盖新程序看下是否可以登录

老版本是可以登录的，我怀疑是升级的时候用了默认的config所致


1.浏览器类型和$_config['security']['authkey']加起来生成了一个全局的authkey

$this->var['authkey'] = md5($_config['security']['authkey'].$_SERVER['HTTP_USER_AGENT']);



2.authcode加密算法的密钥取的是全局的authkey

$key = md5($key != '' ? $key : getglobal('authkey'));



3.生成的session原文是member表中的HASH和UID。

dsetcookie('auth', authcode("{$member['password']}\t{$member['uid']}", 'ENCODE'), $cookietime, 1, true);



4. 有了前面三点条件后，就可以伪造session了.

用SQL注入在pre_common_setting表中注出$_config['security']['authkey']，在pre_common_member表中注出password和uid.

先生成全局的authkey：$k = md5('b158e2zmrkmGVcP1'.'AAA');

再取hash和uid组成seesion原文: $s = "326ed89bc5ca336bcb6f71545b537492"."\t"."1";

最后使用authcode生成加密seesion：authcode($s,'ENCODE',$k);



5.绕过DISCUZ的安全验证。

浏览器类型的验证：浏览器类型是密钥中绑定的一部分，所以参照4需要将User-Agent设成AAA

$_config['security']['authkey'] 会不会对升级产生影响？谢谢！

已经解决，只要使用老板的uc覆盖新版的即可。

谢谢支持，结贴！