说说 Discuz! 网站安全 #1

本文由 Coxxs 原创,转载请注明原文链接:https://coxxs.me/582

十年前,PC 还是主流,BBS 占据了中国互联网很大一部分。Dvbbs、phpwind 和 Discuz! 三分论坛程序市场。

十年后,移动设备成为了大多数人主要的联网方式,QQ、微信、微博成为了大多数人的日常。昔日繁荣的论坛,有的努力转型,争取移动用户;有的则是随着时代的发展,逐渐没落。

不少逐渐没落的论坛,并没有被站长完全放弃。站长依然努力保持着最低限度的维护,许多会员依然会时不时想起这个论坛,上去发几篇帖子。论坛里大量用户产生的内容,也成为了互联网历史中的宝贵财富。但恐怕,这样的场面,并不能持续太久。

Tom Scott 的一段演讲令我印象深刻:

许多用了多年的网络留言版,一旦管理员的密码(或论坛程序本身)被黑客攻破,就基本等同于网站的永久关闭。因为大多数小网站根本没有备份,能在受攻击后恢复的网站并不多。

继续阅读说说 Discuz! 网站安全 #1

Discuz! X 3.4 用 20 万个请求,绕过注册邀请码

本文由 Coxxs 原创,转载请注明原文链接:https://coxxs.me/528

2017-8-11 此漏洞修复方案已提交至 Discuz! 官方

2017-8-21 官方修复此问题,并发布 Discuz! X3.4 Release 20170820

背景

在 Discuz! X 发布前,Discuz! 就有邀请注册功能。管理员可以通过开启邀请注册,让游客需要邀请码注册。根据论坛运营的性质,游客需要通过他人邀请,或者通过购买等获取邀请码。

继续阅读Discuz! X 3.4 用 20 万个请求,绕过注册邀请码

0CTF 2017 write up

又一次偶然的机会,有(ziji)幸(baoming)参加了 0CTF 2017。发挥出所有能力,22 道题解出 4 道(不算签到题),再一次感受到我与菊苣的差距..

Welcome

Welcome to 0CTF 2017~
irc: irc.freenode.net #0ctf2017

很标准的一道签到题,打开 https://webchat.freenode.net/(有 Google reCAPTCHA,需连接外网),进入 #0ctf2017 频道,公告栏获得 flag。

继续阅读0CTF 2017 write up

Discuz! X 附件免积分下载(2016)原理及修复方案

2017-3-9 此问题已提交 Discuz! 官方,并在 Discuz! X3.4 中得到修复。

事实上,在2014年,我发现过 Discuz! 的一个附件越权下载漏洞(顺便可以免积分),当时也有不少利用工具出现。今天看到一位高手(ID: 快乐的小2B)发布了一个新版的免积分工具(感谢作者发布及朋友告知),测试下来发现确实可以使用,带着好奇分析了下具体实现原理。

继续阅读Discuz! X 附件免积分下载(2016)原理及修复方案

Ubuntu 18.04 快速配置 LNMP(LEMP) 环境

从接触 Linux 服务器(vps)配置 Web 服务开始,用过 lnmp.org 的一键安装包,也学过自己编译安装。虽说编译安装自定义性较高,但是也容易遇到各种问题,而且费时费力,后期还不易维护。

在朋友和相关文章的指导下,了解了 apt 的神奇魅力。乘着 Ubuntu LTS 更新之际,来学学用 apt 来快速配置一个干净易维护 LNMP 环境。

本文目前适用于 Ubuntu 18.04、16.04。如果环境为 Ubuntu 16.04,请将以下各处 PHP 版本中的 7.2 替换为 7.0。

继续阅读Ubuntu 18.04 快速配置 LNMP(LEMP) 环境

Discuz! F1.0(20160119) 新触屏版无法使用QQ登录问题修复

本文由Coxxs原创,转载请注明原地址:http://coxxs.me/389

更新:本问题已提交至 Discuz! F 官方,并已在新版得到官方修复。

更新了 Discuz F1.0,试了试“新”触屏版(其实就是微社区搬来的啊喂!),结果发现这搬得相当不完整,有很多功能异常及缺失。摸索了一个晚上,修复了最重要的QQ登录无法使用的问题,在此记录。

首先,要使用“触屏版”的QQ登录,需要在后台启用“微信登录”插件。

继续阅读Discuz! F1.0(20160119) 新触屏版无法使用QQ登录问题修复

阿里云中转,加速其他服务器上的 ss

2018-3-22 更新:优化排版,添加专用网络下需使用内网 IP 的提示。

因为某些原因,博主(电信)访问国外的网络质量是相当差。经历了 7、8 月份几乎无法访问国际互联网(下称“外网”)以及和奠信的斗争,9 月算是终于换来一丝光明。但是奠信访问某些服务器的线路还是被“特殊照顾”,依然是惨不忍睹。每天 ss 开开关关实在烦心,于是决心咬咬牙,折腾出一个解决方案,找回过去 24h 挂外网的男人的自信。

继续阅读阿里云中转,加速其他服务器上的 ss