新站不要使用 xiuno，疑似存在未知高危漏洞 - 大佬论坛 大佬论坛

新站不要使用 xiuno，疑似存在未知高危漏洞

V 阿呆 小丑  (UID: 1) 站长 [复制链接]
帖子链接已复制到剪贴板
帖子已经有人评论啦，不支持删除！
1664 32

目前问题未知，疑似无差别登录用户账号，目前本站遇到多位用户账号被人登录发帖，恰好管理在浏览论坛及时发现已将帖子删除并修改了这部分用户账号密码。

此问题之前朋友做的xiuno网站用户量几千后也曾出现大批量账号同一时间发布菠菜帖子，找人排查也没有找到原因，致使他最后卖站放弃xiuno。

目前我们做的只有更新所有用户token，强制下线重新登录，开启HttpOnly等安全措施。

好在被登录用户发布的并非灰产信息，而是

新站不要使用 xiuno，疑似存在未知高危漏洞

已经向号主求证他们使用的并非弱密码，而是大小写字母+数字的组合。

如果发现此漏洞的朋友并无恶意，期望您联系我们反馈漏洞。

xiuno停更5年，加上各种插件老旧，难免有我们未知的bug存在。

本站服务器由 DangYun 友情提供
已有评论 ( 32 )
  • 头像
    小世界 (UID: 40)
    (嘿嘿嘿)
    1楼

    大佬从来不需要睡觉

  • 头像
    V zc V10 (UID: 1996)
    (email.ooo)
    2楼

    停用账号密码登陆，改成邮箱验证码登陆能不能行表情

  • 头像
    V CMR V10 (UID: 6) 守护神 C
    (C.Mr)
    3楼

    居然没有我的表情

  • 头像
    tempuser (UID: 5067)
    4楼

    很明显只是一个xss  to  csrf的洞，加个验证码基本就不会自动发帖了。

    允许发html类型帖子和支持自定义css本身就是一大安全隐患

  • 头像
    海草 (UID: 1140)
    (fans.fans)
    5楼

    还好我用原生的bbpress   

  • 头像
    V 被窝探险家 (UID: 212)
    6楼

    那么严重表情

  • 头像
    V 龙哥 (UID: 75)
    (龙哥™：long.ge)
    7楼

  • 头像
    C (UID: 219)
    (https://assbbs.com/users/3)
    8楼

    这倒不一定是xiuno的问题，可能是什么插件漏洞了。

  • 头像
    小白 (UID: 5989)
    (见山论坛-建站交流-资源分享-域名发布 www.jianshan.org)
    9楼

    xiuno都是老的插件，难免很多漏洞，凑合玩玩。

  • 头像
    游走哥 (UID: 5912)
    10楼

    怎么通过验证码登陆的？？

  • 头像
    RMB (UID: 4689)
    (小燕子米表：mibiao.xyz)
    11楼

    大概率是xss漏洞导致，如果是高危漏洞就不只是用户发帖了，直接搞你后台管理。排查一下js文件。

  • 头像
    V 阿呆 小丑 (UID: 1) 站长 楼主
    (本站服务器由 DangYun 友情提供)
    12楼
    RMB 大概率是xss漏洞导致，如果是高危漏洞就不只是用户发帖了，直接搞你后台管理。排查一下js文件。

    初步排查是xss漏洞，js泄漏了用户token，现在对这方面做了相应防护，HttpOnly可以避免输出敏感信息，但极大可能非xss漏洞，因为被登录的账号中有2个是近3年未登录过的用户，服务器并没有生成用户token…

  • 头像
    V 阿呆 小丑 (UID: 1) 站长 楼主
    (本站服务器由 DangYun 友情提供)
    13楼
    C 这倒不一定是xiuno的问题，可能是什么插件漏洞了。

    极有可能是历史插件问题，因为那位朋友的论坛做的比较久用的也都是些老插件

  • 头像
    RMB (UID: 4689)
    (小燕子米表：mibiao.xyz)
    14楼
    阿呆 极有可能是历史插件问题，因为那位朋友的论坛做的比较久用的也都是些老插件

    三年未登录，还能破，那不会是token算法被攻破了吧？xiuno的token是怎么生成的？  表情

  • 头像
    RMB (UID: 4689)
    (小燕子米表：mibiao.xyz)
    15楼
    RMB 三年未登录，还能破，那不会是token算法被攻破了吧？xiuno的token是怎么生成的？ 表情

    如果token算法被攻破，那就可以随意登录任意用户。

  • 头像
    龙笑天 (UID: 3067)
    (ilxtx.com)
    16楼

    不维护的产品  这排查就麻烦了  还是WP比较省心啊表情

  • 头像
    匿名用户 (UID: 3142)
    17楼

    Token可能被黑产窃取，需通过定期撤销授权、启用设备锁或修改密码来保护

  • 头像
    李易峰 (UID: 938)
    18楼

    我是说怎么今天突然要重新登录，还好呆哥技术好，不然早倒闭无数次了

  • 头像
    麻辣香锅 (UID: 5833)
    19楼

    这边建议迁移discuz表情

  • 头像
    Moo (UID: 5858)
    (𝐌𝐢.𝐜𝐝 )
    20楼

    呃。。。我说怎么回事儿。。。登陆就出现这个截图

域名市场
   域名载入中...
创建新帖
自助推广购买广告位
确认删除
确定要删除这篇帖子吗？删除后将无法恢复。
删除成功
帖子已成功删除，页面将自动刷新。
删除失败
删除帖子时发生错误，请稍后再试。