长期被人恶意破解用户密码

jiangchuankyo · 发表于 2018-10-20 12:11:55

可以看出仅是测试弱密码(并不是用其它网站用户撞库测试,因为直接是先从uid=1到uid=999999遍历出了你网站的所有用户名,然后每个进行测试),
1,修改class_member.php文件,把密码记录中的***去掉,这样就能看见真实完整密码了
2,修改class_member.php文件中function on_login()函数,把弱密码+用户名登录方式去掉(弱密码用户提示只能用邮箱登录)

allthebest · 发表于 2018-10-20 17:28:15

什么也不用

通知用户强化密码

三个月沒上线后台设定锁定用户

即可

		自动登录	找回密码
密码			立即注册

[新需求] 长期被人恶意破解用户密码