非法IP嘗試爆破密碼，怎么阻止這些非正常IP？

stonys

如圖：


這些IP都不合法的，系統(tǒng)怎么沒(méi)方法阻止呢？

DISCUZ登陸限制IP繞過(guò) https://www.jianshu.com/p/8edca45ea4c5 偽造ip撞庫(kù)登錄 有什么好辦法禁止嗎 https://gitee.com/ComsenzDiscuz/DiscuzX/issues/IFP4G DZ論壇爆破工具 V1.2.1 免費(fèi)正式版 https://www.jb51.net/softs/611268.html Discuz論壇自動(dòng)爆破工具原理分析 https://www.freebuf.com/articles/web/68002.html

1 貢獻(xiàn)

最佳答案

source/class/discuz/discuz_application.php中有個(gè)獲取IP的函數(shù), 執(zhí)行修改去掉clent-ip和x-forwarded-for設(shè)置ip這句,只以addr作為用戶(hù)真實(shí)IP

如果你加了CDN或負(fù)載均衡的話, 要自己另外寫(xiě)代碼, 只以x-forwarded-for倒數(shù)第1個(gè)作為用戶(hù)真實(shí)IP(目前DZ原始是以第1個(gè)作為真實(shí)IP來(lái)判斷的,肯定別人是可以隨便偽造, 與IP是否合法無(wú)關(guān), 因?yàn)閯e人也可以隨便設(shè)置成1.1.1.1,2.2.2.2這種正常IP的,只是你沒(méi)發(fā)現(xiàn)罷了)

• jiangchuankyo
• 發(fā)表于2019-7-28 11:39:37
• 詳細(xì)答案 >

stonys

DZ配置文件里已經(jīng)加了：

1. $_config['security']['onlyremoteaddr']                = 1;

復(fù)制代碼

還是不行。

jiangchuankyo

source/class/discuz/discuz_application.php中有個(gè)獲取IP的函數(shù), 執(zhí)行修改去掉clent-ip和x-forwarded-for設(shè)置ip這句,只以addr作為用戶(hù)真實(shí)IP

如果你加了CDN或負(fù)載均衡的話, 要自己另外寫(xiě)代碼, 只以x-forwarded-for倒數(shù)第1個(gè)作為用戶(hù)真實(shí)IP(目前DZ原始是以第1個(gè)作為真實(shí)IP來(lái)判斷的,肯定別人是可以隨便偽造, 與IP是否合法無(wú)關(guān), 因?yàn)閯e人也可以隨便設(shè)置成1.1.1.1,2.2.2.2這種正常IP的,只是你沒(méi)發(fā)現(xiàn)罷了)

allthebest

后臺(tái)  關(guān)閉  UID 登錄

通知用戶(hù)強(qiáng)化密碼

三個(gè)月沒(méi)上線  后臺(tái)設(shè)定鎖定用戶(hù)

即可

stonys

沒(méi)有開(kāi)通uid登錄。

stonys

DISCUZ登陸限制IP繞過(guò)
https://www.jianshu.com/p/8edca45ea4c5
偽造ip撞庫(kù)登錄 有什么好辦法禁止嗎
https://gitee.com/ComsenzDiscuz/DiscuzX/issues/IFP4G
DZ論壇爆破工具 V1.2.1 免費(fèi)正式版
https://www.jb51.net/softs/611268.html
Discuz論壇自動(dòng)爆破工具原理分析
https://www.freebuf.com/articles/web/68002.html

看來(lái)是歷史問(wèn)題了，好像還沒(méi)有好的解決方案。

allthebest

別忘記 忘記密碼 測(cè)試 同樣后臺(tái)有記錄

簡(jiǎn)單 密碼 如 111111 等才有可能與非法IP有關(guān)

但不會(huì)單獨(dú)測(cè)試一個(gè)用戶(hù)名

你的圖片見(jiàn)的 只是會(huì)員忘記密碼嘗試而已

與非法IP嘗試爆破密碼無(wú)關(guān)