|
|
dz程序存在的相关后门地址：
根据很多站长反馈发现，每个使用Discuz论坛程序的站长、管理只要登录后台则触发远端http://customer.discuz.net/news.php?os=dx&update=
的信息上传和建立远端通信，
从一段代码看出discuz挺多心眼的，【以最新Discuz! X3.2 正式版【2016-06-01】版本为例：】
后门代码路径1：\source\function\function_admincp.php
第155行（请只搜索特征符 $upgradeurl = ）：- $upgradeurl = 'ht'.'tp:/'.'/cus'.'tome'.'r.disc'.'uz.n'.'et/upg'.'rade'.'.p'.'hp?'.'os=dx&update='.rawurlencode(base64_encode($data)).'×tamp='.TIMESTAMP;
后门代码路径2：\uc_server\control\admin\frame.php
第35行 （请只搜索特征符 $ucinfo =）：
- $ucinfo = '<sc'.'ript language="Jav'.'aScript" src="ht'.'tp:/'.'/cus'.'tome'.'r.disc'.'uz.n'.'et/ucn'.'ews'.'.p'.'hp?'.$this->_get_uc_info().'"></s'.'cri'.'pt>';
某“官方”可能会说：This upgrade is detected discuz~诸如此类，
But：
Discuz! 补丁系统关闭的通知
http://www.discuz.net/thread-3774910-1-1.html
(出处: Discuz! 官方站)
你还要怎么圆？
试问某“官方”凭什么要获取站长的_get_uc_info()
http://customer.discuz.net/news.php，通过这个接口可以上传任何需要的信息到官方，上传地方有好几处，比如这个函数 _get_uc_info ，自动上传网站的用户数量和好友数量到官方，这可是代表网站规模和活跃度的关键数据哦，至于这些是不是隐私，该不该上传，大家自己判断吧，凡是在DISCUZ发帖质疑的，都被和谐差不多了。。。
举证链接：
请注意，房产代码有后门，官方如果要删帖，请说明理由
http://www.discuz.net/thread-1981072-1-1.html
(出处: Discuz! 官方站)
DISCUZ有没有后门不再争论？可到底收集站长的哪些信息是否能公开告知呢？
http://www.discuz.net/thread-1981909-1-1.html
(出处: Discuz! 官方站)
赤裸裸的discuz的X3.2后台官方的webshell行径，既然Discuz! 补丁系统都关闭了，为毛你还要_get_uc_info ？
如果你远端给我来个http://customer.discuz.net/news.php?os=dx&update=远程记录删除，站长怎么办？
如果你远端给我搞个http://customer.discuz.net/ucnews.php？=上传信息获取信息，站长隐私该怎么保护？
如果黑客远端劫持了http://customer.discuz.net/news. ... h=XXX×tamp=XXX
某“官方”凭什么给站长保障？
后门真可怕，官方怎轻为？
http://customer.discuz.net/news.php?os=dx&update=. ...md5hash=d9cba4d1×tamp=1316567858
某“官方”能否解释下http://www.comsenz.com/customer/
远离后门，远离信息上传，请站长自己按需屏蔽删除：
\source\function\function_admincp.php 第155行
\uc_server\control\admin\frame.php 第35行
图解欣赏：
|
|
帐号登录
QQ登录
微信登录
发表于 2016-9-21 15:45:08
发表于 2016-10-14 08:04:23
发表于 2016-11-11 19:12:10
