在github上活捉一只黑客兼做盜版插件的狗，3315款插件受害！

安全專員

傳送門：安全小知識：為什么使用盜版插件容易被掛馬！

標題侮辱了狗，我鄭重向狗道歉！
該黑客的github項目地址：

1. https://github.com/code-scan/dzscan

復制代碼

這個項目是一個后門掃描工具，是專門針對discuz!
項目作者還專門放了一個盜版插件清單，涉及3315款Discuz!經典插件...



問題來了，他的盜版插件，你敢安裝嗎？


傳送門：安全小知識：為什么使用盜版插件容易被掛馬！

wuyou

哈哈，懂技術的心術不正屬于危險品。。。。

czwhehehe

臥槽，真有些人才……

購啊購

感覺你是官方的水軍，就嚇站長去買正版

安全專員

購啊購 發表于 2019-7-18 17:12
感覺你是官方的水軍，就嚇站長去買正版

他強由他強，清風拂山崗
他橫由他橫，明月照大江
擺事實，講道理，別人怎么說，隨它去...

老魏

他這個是不是說明這些插件都是有漏洞的

安全專員

老魏 發表于 2019-7-18 17:24
他這個是不是說明這些插件都是有漏洞的

你覺得他做義工？給你提供盜版插件，還幫你掃描網站后門免費檢測網站安全？

老魏

安全專員 發表于 2019-7-18 17:33
你覺得他做義工？給你提供盜版插件，還幫你掃描網站后門免費檢測網站安全？ ...

我的意思是他獲取的這些插件，是不是說明這些插件有漏洞

pptts

從源碼看並沒有提供盜版插件下載，adds.txt是插件數據庫

從dzscan.py的源碼可以看到，會從DZ舊有應用中心收集DZ目前所有插件名稱和代號


然後從fetchvul的功能可以看到，他其實就是把應用中心上有的插件掃描後，丟到自己的數據庫去判斷有沒有在黑名單裡。


不過該站dzscan.org已死，自然就沒用了。

另外這東西不需要裝在網站上，可以在電腦執行，網站密碼FTP密碼什麼的也不需要提供。

他掃描的DZ漏洞也都是非常非常的舊，應該都在X3.2上被修過了。

TG123999

看的老子膽都抖出來了