久久久久av_欧美日韩一区二区在线_国产精品三区四区_日韩中字在线

<li id="44uy4"></li>

Discuz! 官方交流社區

標題: 升級到最新的x3.4 gbk 有回復和附件下載漏洞 [打印本頁]

作者: dhfdg0964 時間: 2019-12-10 16:39
標題: 升級到最新的x3.4 gbk 有回復和附件下載漏洞
本帖最后由 dhfdg0964 于 2019-12-12 18:28 編輯

通過訪問一系列如下的地址
https://域名/forum.php?mod=viewthread&tid=16911&viewpid=980301&inajax=1&ajaxtarget=post_980301

便可以直接查看需要回復才可見的內容，

而且設置價格的附件他也可以直接下載 (由于我不知道原理，此BUG無法復現，但是我百分百確定是有此漏洞的)

已升級到最新的3.4 gbk 20191201

作者: 老周部落 時間: 2019-12-11 17:06
設置價格的附件是指帖子有價格還是附件有價格？

作者: dhfdg0964 時間: 2019-12-11 21:08

老周部落發表于 2019-12-11 17:06
設置價格的附件是指帖子有價格還是附件有價格？

附件有價格

作者: 老周部落 時間: 2019-12-12 12:29

dhfdg0964 發表于 2019-12-11 21:08
附件有價格

我這里測試了一下，用用戶賬號訪問 forum.php?mod=viewthread&tid=3&viewpid=3&inajax=1&ajaxtarget=post_980301 查看帖子內容，發現隱藏內容的顯示和附件收費提示是正常的，具體請見下圖。

關于附件下載的問題，我不是官方人員，我看不到您的日志。目前附件這一塊沒有什么已經被報告的Bug。

唯一的問題就是目前如果用戶將收費附件的最終URL發送給其他用戶，其他用戶可以憑URL直接下載（形如 forum.php?mod=attachment&aid= ）這種，不過這個算不算Bug還需要進一步探討。

(, 下載次數: 67)

作者: dhfdg0964 時間: 2019-12-12 17:39

老周部落發表于 2019-12-12 12:29
我這里測試了一下，用用戶賬號訪問 forum.php?mod=viewthread&tid=3&viewpid=3&inajax=1&ajaxtarget=post ...

不是的我已確定是有下載漏洞這個鏈接只是他訪問的其它一個日志里訪問了好多鏈接的

作者: cold 時間: 2020-5-8 17:02
我也是無語了，這個漏洞14年就被爆出來了，現在都沒有修復或者發補丁

作者: 老周部落 時間: 2020-5-8 22:27
本帖最后由老周部落于 2020-5-8 22:30 編輯

cold 發表于 2020-5-8 17:02
我也是無語了，這個漏洞14年就被爆出來了，現在都沒有修復或者發補丁

請提供在Discuz! X3.4 20191201或更高版本上完整的復現方式，能復現的話我聯系人來修。
如果最新版本不能復現，那就請您升級最新版本。如果您不能升級最新版本，那就只能您自行對照修改了。

作者: cold 時間: 2020-5-9 17:14
研究好幾天都沒有找到什么解決的辦法

作者: 挖奇樂 時間: 2020-5-30 07:33
關注中！期待官方答復

作者: sbin6742 時間: 2021-6-27 12:30
我升級到了3.4 gbk 20210520版本貌似還是有這個問題，莫名其妙的增加下載次數，請問樓主找到問題原因了嗎？

作者: sbin6742 時間: 2021-6-27 12:39
通過分析發現，從來沒被下載過的附件不會有這個問題，只要下載過，不管管理員還是普通會員，只要下載過這個附件，那么就是莫名的增加下載次數，并且積分購買記錄里沒有記錄。

作者: 老周部落 時間: 2021-6-27 23:55
本帖最后由老周部落于 2021-6-28 00:07 編輯

sbin6742 發表于 2021-6-27 12:39
通過分析發現，從來沒被下載過的附件不會有這個問題，只要下載過，不管管理員還是普通會員，只要下載過這個 ...

請提供在Discuz! X3.4 20210520或更高版本上完整的復現方式，能復現的話我聯系人來修。
另外同一個人付費之后是可以下載多次的，如果同一個人下載多次下載次數增加這不是 Bug 。
另外站點 authkey 泄露也有可能導致這種問題，請知悉。

作者: allthebest 時間: 2021-6-29 00:19

只要下載過，不管管理員還是普通會員，只要下載過這個附件，那么就是莫名的增加下載次數，并且積分購買記錄里沒有記錄。

這情況，同一管理員與普通會員，下載同一個附件，可下載N次，但只購分一次，正常。與升級無關。

作者: dashen 時間: 2021-6-29 01:08

sbin6742 發表于 2021-6-27 12:30
我升級到了3.4 gbk 20210520版本貌似還是有這個問題，莫名其妙的增加下載次數，請問樓主找到問題原因了嗎 ...

早就沒有這種漏洞了，下載量和購買量不是一回事，多次下載會多次記錄，使用迅雷之類的多線程工具下載，次數會更多，然后下載次數更新不一定是實時的

歡迎光臨 Discuz! 官方交流社區 (http://www.9999xn.com/)