全球主机交流论坛

标题: 2025首次公布Discuz两个重大漏洞！！！ [打印本页]

作者: 番职男孩 时间: 2025-7-27 09:37
标题: 2025首次公布Discuz两个重大漏洞！！！
我服了，本来打字+编辑帖子，耗费了大概30分钟左右，结果发不出去，不知道为啥，显示403？

那我直接就贴图了

一共两个漏洞，第一个如下：

漏洞二：DiscuzHub等dz开发作者联合利用第三方客户端绕过Discuz X3.4 X3.5 X5.0登录机制进行匿名穿透访问

开发作者就联合github第三方客户端共同奉献了DiscuzHub这种利用第三方客户端绕过Discuz X3.4 X3.5 X5.0登录机制进行匿名穿透访问非开放论坛、高价值论坛、收费论坛、付费资源论坛等穿透访问这些本来需要邀请码、付费才能访问的版块内容资源，

项目见：https://github.com/kidozh/DiscuzHub

其中不乏看到discuz资深开发作者奉献了专用API利用的内部方法，详细分析：https://github.com/kidozh/DiscuzHub/issues/42 ↓

你会发现像 dismall.com（dismall官网）、kuozhan.net（扩展中心） ↑ 等这些作者自己网站都已经做了接口修复加强，So，为什么本身官方有能力可以对接口鉴权加强，为什么不修复呢？你懂的~

废话不多说，见图：

穿透访问某付费网站内部效果：

而作者们自己API接口鉴权加强修复的效果大家看看：

所以你能理解了吗？我们分析 DiscuzHub 这个手机客户端项目源码 https://github.com/kidozh/DiscuzHub

实现的逻辑是通过 discuz /api/* 相关接口文件（/api/mobile/index.php）

ps:漏洞二目前似乎是被那些作者看到有人在公布了，所以当天公布漏洞出来后就有很多作者都修复了（但是有的还没有），美其名更新了漏洞，其实就是怕别人举报

至于你说官方知不知道？是不是默许的？答案不言而喻了

本来不来想说这些的，尤其是第一个漏洞，官方目前仍然无法解决，似乎是他们技术上的一个难题，所以第一个漏洞公布后，直接被官方权限了

dz目前就这种态度，这种官方监守自盗，还谈什么活路？

上个帖子还有一件事我没讲，此前我看到dz的官方论坛有一篇贴，大意是希望dz官方的商城可以增加一个类似淘宝的那种评论系统，好评差评打分什么的，结果依旧是被官方阴阳回复，扯东扯西，推卸责任，阴阳提问者，总之就是都不是他的问题，你提出问题，我就解决你！

现在好，希望你们可以继续保持！

我呼吁大家，从此刻起，，抵制Discuz的任何付费行为！他们不是自大吗？不是天高皇帝远吗？看他们还能得瑟多久？人在做天在看！

作者: 番职男孩 时间: 2025-7-27 09:38
抵制Discuz!!!!从现在做起！

作者: balala 时间: 2025-7-27 10:20
你直接录制个视频发出来得了，看文字比较累！

作者: 天道茫茫 时间: 2025-7-27 10:32
收shell，有的私聊

作者: 番职男孩 时间: 2025-7-27 10:37

balala 发表于 2025-7-27 10:20
你直接录制个视频发出来得了，看文字比较累！

懂的人一看就会，不懂得人，不用看

作者: misakafa 时间: 2025-7-27 11:01
本帖最后由 misakafa 于 2025-7-27 11:03 编辑

发不出去是因为触发了loc的防火墙
第二个漏洞试了下，新版本discuz3.4已经修复了，还有提醒下不要用loc论坛测试，会被禁止ip

作者: kmaf 时间: 2025-7-27 13:04
第二个漏洞，你说的那个其乐keylol，测试了一下，使用电脑上的浏览器也能打开啊，浏览帖子也没有限制。

作者: 越玩越大胆 时间: 2025-7-27 13:07
傻逼discuz官方团队狗东西，人人抵制！

作者: 何教授 时间: 2025-7-27 13:08
discuz是开源的，安装前屏蔽一切二道的官方接口

插件用盗版的基本上都是纯净版插件

作者: 番职男孩 时间: 2025-7-27 13:10

何教授发表于 2025-7-27 13:08
discuz是开源的，安装前屏蔽一切二道的官方接口

插件用盗版的基本上都是纯净版插件 ...

是的，大家不要付费

作者: 虎谷 时间: 2025-7-27 14:09
官方天天觉得discuz不赚钱，但是又一直弄sass版的dz，这是多麽自信很多人买他的服务啊。。。

作者: wlllbl 时间: 2025-7-27 19:09
所以怎么修复？

作者: 呆萌软妹 时间: 2025-7-27 19:52
包括我之前提到的 DZ官方在5月份的时候在开发者群里通知所有开发者必须把插件跟模板的最低价格调整到100元以上
当我在官方群询问为啥要限制开发者自由定价表示是不是要收割站长以后
就直接被踢出了开发群并且封禁了我的开发者账号

https://443502.xyz/thread-1424911-1-1.html

欢迎光临全球主机交流论坛 (https://443502.xyz/)