Discuz!官方免费开源建站系统

 找回密码
 立即注册

QQ登录

只需一步,快速开始

搜索

[黑客入侵Discuz]在别的网站看到请网站开发人员快点修补程序。

[复制链接]
cnyunxi 发表于 2006-9-16 15:05:05 | 显示全部楼层 |阅读模式
黑客入侵实例 针对Discuz论坛的入侵手记。我看到了全部,请开以人员联系我www.wxy.net.cn
 楼主| cnyunxi 发表于 2006-9-16 15:11:24 | 显示全部楼层
最近闲来无事的菜鸟们,掀起了一场Discuz论坛,入侵狂潮的“运动”。一时间闹整个安全界也是沸腾不已。不过各站点的站长们身手还算敏捷,低版本Discuz论坛还没用多久,便换上了高版本的论坛(Discuz!4 dot 0.0RC3版本)进行弥补漏洞。但是经过笔者测试成功,得出高级版本的Discuz程序,也是含有跨站入侵的漏洞。只是在方法有些差别而已。下文便是笔者这段时间入侵研究的心得,何不一同来领略一下入侵带来的“快感”!
  一、望穿秋水的“手动”入侵法

  1.首先进入GOOGLE或者百度的搜索站点,在关键字处输入Powered by Discuz! 4.0.0RC3,然后单击 “目标”按钮进入。便可查找出众多使用此版本的论坛地址,这里笔者随意挑选了一个游戏公司的站点作例题讲解。进入游戏公司站点后,单击右上角 “注册”标签,弹出会员用户的注意事项,并且需要等待论坛所设置的阅读时间,然后“单击”下方同意按钮,在注册用户的必填处,填入自己的相关信息,最后单击“提交”按钮,即可成功注册。

  2.会员注册成功以后,自动跳转到论坛首页。在依次进入“控制面板”→“编辑个人资料”。打开“编辑个人资料”标签,单击下方“论坛头像列表”按钮(如图1),会显示出论坛头像中的所有图片。这里笔者随意选择了一个预设的头像图片,并将其页面保存到本地机器中。

  3.在转到本地机器,以记事本形式打开保存的页面,并单击上方“编辑”标签,选择“查找”选项,弹出查找对话框。在查找文本处输入 “<FORM action=”的字符内容,然后单击目标处“查找下一个”按钮,会在记事本内容下方,选择到所要查找的目标(如图2)。随后在等号后面填入WWW. GU**Y.COM.CN\,来补全提交页面的网址路径。在将其修改过的页面保存,然后在重新打开该页面,并单击 “提交”按钮。这时再回到网站的“控制面板首页”标签栏,查看一下头像是否提交成功。

  小提示:因保存到本地的头像页面,采用的提交地址是相对路径,所以这里需要补全该站点的网址。否则在提交页面的同时,会显示找不到路径的404错误。如果已经填补了网址路径,并且在本地也成功的将头像提交给了该网站,大家就可以大胆的说明此网站存在头像跨站的漏洞,接下来就可以进行跨站入侵了。

  4.提交头像成功以后,使用DreamWeaver网页设计软件将本地提交的页面打开,然后单击头像一的Radio空间,把选定址处改为“images/avatars/02.gif"><script>alert("曲靖提醒:贵站含有头像跨站漏洞,请采取相关的防御措施!")</script>”的代码字符。在单击“文件”菜单,选择“保存”选项,即可将修改的控件,成功保存。然后在双击打开该页面,选择头像一的单选框,并单击下方“提交”按钮。程序回显会提示:修改成功!同时刷新此页面,弹出笔者所建立的警告对话框(如图3),最后在找个热门的帖子回复一下,只要当用户打开含有笔者的帖子时,都会弹出如图3的警告对话框!
  小提示:在 “控制面板首页”标签处,查看一下网页代码。只要大家稍有留意,便不难发现调用<img src="www.gu**y.com.cn/images/avatars/02.gif" width="83" height="94" border="0">的图片地址。调用代码是<img src=“$avatars”字符,所以我们可以构造一个Radio的控件值,来修改的选定值。需要用到DreamWeaver网页设计软件,或其他的网页制作软件来修改,才能自动转义其格式。而不要使用记事本的形式修改相关数值,否则会导致整体内容错乱。

所有的内容全部是在别的网站看到的,不知是不是过期了没有
回复

使用道具 举报

Clwarm 发表于 2006-9-17 11:40:14 | 显示全部楼层
老早的事了
你看看现在DZ的版本,都5。0了。
回复

使用道具 举报

tanweihai 发表于 2006-9-20 21:05:51 | 显示全部楼层
楼主反应有点儿迟钝。。。。。
回复

使用道具 举报

Lancelo 发表于 2006-9-24 13:53:50 | 显示全部楼层
嘿嘿。心情很。。
回复

使用道具 举报

davidthomas 发表于 2006-10-22 17:03:08 | 显示全部楼层
hehe!~~~~~~~
回复

使用道具 举报

LobangKing 发表于 2006-11-4 00:21:03 | 显示全部楼层
楼主也是一番好意。
谢谢你的分享!
回复

使用道具 举报

wuhongdong 发表于 2006-11-13 16:56:42 | 显示全部楼层
楼主很迟钝。。。:)
回复

使用道具 举报

simon525 发表于 2006-11-22 03:28:16 | 显示全部楼层
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

手机版|小黑屋|Discuz! 官方站 ( 皖ICP备16010102号 )star

GMT+8, 2024-12-23 20:01 , Processed in 0.027986 second(s), 6 queries , Gzip On, Redis On.

Powered by Discuz! X3.4

Copyright © 2001-2023, Tencent Cloud.

快速回复 返回顶部 返回列表