- Discuz!X2/2.5弱口令破解漏洞是什么，怎么解决？
说白了Discuz!X2/2.5弱口令破解漏洞就是Discuz x2和Discuz X2.5登录机制上的漏洞。
利用一些恶意软件，先通过一定方法拉取网站用户列表，然后访问形如member.php?mod=logging&action=login&loginsubmit=yes&infloat=yes&lssubmit=yes&inajax=1&username=用户名&password=明文密码&quickforward=yes&handlekey=ls 的网址逐一进行弱密码测试，发现可以登录的用户则利用用户大量发布垃圾信息，如色情、广告、推广等信息。
- Discuz!X2/2.5弱口令破解漏洞怎么解决？
这里说点题外话，我要严重鄙视和批评360，一个超级简单的问题一定要把它提升到安全问题上来，既然提出了问题，就该简洁明了的告诉站长如何快速解决这个问题，而360在那里故装深沉，把问题弄得像特别难解决一样，不肯解决问题也罢了，还诱导不懂编程的站长去使用它的漏洞修复插件什么的。从来没有谁把搜索引擎做得像360一样恶心，因为一个简单的问题就给别人辛辛苦苦做的网站贴个个不安全的标识给访客看，劫断别人的流量来源。
话不多说，言归正传，要解决Discuz!X2/2.5弱口令破解漏洞，其实只要一句代码就行，在Discuz x2 或 Discuz X2.5安装目录下找到member.php，用文本编辑软件打开，找到以下代码
- require DISCUZ_ROOT.'./source/module/member/member_'.$mod.'.php';
- if($mod=='logging'){
- $_ref = isset($_SERVER['HTTP_REFERER']) ? $_SERVER['HTTP_REFERER'] : '';
- if(stripos($_ref,$_SERVER['HTTP_HOST'])===false || IS_ROBOT) exit;
- }
以下是360提供的信息
Discuz!X2/2.5弱口令破解漏洞
WASC Threat Classification
发现时间：2013-02-28
漏洞类型：其他
所属建站程序：Discuz
所属服务器类型：通用
所属编程语言：PHP
描述：在开启登录验证码的情况下，可绕过登录验证码测试弱口令。GET直接提交即可登录。
危害： 存在漏洞可能导致，网站部分弱口令用户的账号被盗，导致用户信息泄露，并被利用传播恶意广告等信息，给用户和网站造成不好的影响，造成不必要的损失。 |
|
