Dzx3.2漏洞看来太多了！！！！！！！！！！

yuanhua · 发表于 2016-4-10 17:23:26

一个新注册的用户本来需要充值200元的才能下载这个附件，竟然他不用充值就可以购买。后台没有查到充值记录，也没有其他提权或者破解我管理员账号的记录。使用dzx3.2的注意下吧。

截图00.png (11.66 KB, 下载次数: 0)

总是吵架的猪 · 发表于 2016-4-11 15:55:20

下载dzfans版本 dz官方已经没人管了

只看该作者 · 发表于 2016-4-11 11:00:00

提示: 作者被禁止或删除内容自动屏蔽

yuanhua · 发表于 2016-4-10 21:45:26

kana 发表于 2016-4-10 21:39
这种就不知道了，应该是没防火墙拦注入

现在网上流传的那些dz收费附件下载工具和教程有没杜绝办法？

kana · 发表于 2016-4-10 21:43:35

提示: 作者被禁止或删除内容自动屏蔽

kana · 发表于 2016-4-10 21:39:47

提示: 作者被禁止或删除内容自动屏蔽

yuanhua · 发表于 2016-4-10 21:36:34

kana 发表于 2016-4-10 21:27
有购买记录？什么系统，装个狗

前台有购买记录，要不然我根本发现不了这个问题。用的阿里云的虚拟主机，liunx系统。后台查这个人的登陆记录没有异常，积分变动记录就是注册后回了几个贴就直接把这个收费附件购买了。但是他根本没有这个附件设置的权限和积分。

kana · 发表于 2016-4-10 21:27:32

提示: 作者被禁止或删除内容自动屏蔽

yuanhua · 发表于 2016-4-10 21:20:23

kana 发表于 2016-4-10 19:37
应该是linux下下载的。我记得linux下以前可以下载付费附件

问题是前台购买记录里面有他。但是又没有他的充值记录？默认没有这个积分是没办法购买附件的，必须先充值。不知道是如何绕过充值这一关的？

gger · 发表于 2016-4-10 21:16:53

牛人啊，。

		自动登录	找回密码
密码			注册