云服务器促销,免费安装宝塔面板!
开启左侧

[DZ挂马] 强化论坛用户组权限,合理关闭Discuz!论坛flash标签用户权限防论坛挂马

[复制链接]
当流科技 发表于 2017-9-18 16:40:21 | 显示全部楼层 |阅读模式

本站会员必须 邮箱验证成功后 才能发帖。马上注册查阅更多教程,下载海量资源,让你轻松玩做站

您需要 登录 才可以下载或查看,没有帐号?立即注册

x

discuz!挂马

discuz!挂马
. [: l$ _) j9 s; L: F1 T% w  P

( T1 h4 }7 f; f6 I* v1 ^4 R在Discuz!系统的论坛中,用户在发帖时可以通过[flash]标签,直接在帖子内嵌入来自任意网站的flash文件,这些flash文件在其他用户浏览对应的主题、帖子时,都是自动播放的,这一漏洞就给了攻击者非常便利,甚至非常定制化的攻击途径:攻击者只要将挂马的Flash文件直接嵌入论坛帖子中,等待贴主或任意访问论坛的用户打开帖子,攻击者就可以完全控制他们的电脑。: x0 z4 ~/ c& X7 {1 o( v: s

- [* s5 u1 O8 F( s这一攻击形式相当灵活,对论坛进行挂马的攻击者既可以通过回帖到热门主题的方式,给论坛中的大量用户集中挂马,也可以针对对特定主题、特定内容、特定发帖人的帖子感兴趣的人做小范围“精准打击”,在不引起大部分人注意的前提下,对这些用户进行挂马,例如我们看到在腾讯穿越火线论坛的挂马案例中,有用户发帖称意外获得了礼包,紧接着就有挂马者随即跟进,在他的帖子下面挂马,使得贴主和其他围观群众被flash木马攻击。" M- P. m1 c! \' s# q) b
9 M* E1 X" v( A; e6 ~
Discuz!论坛针对自动播放的[flash]标签是默认关闭的,而这些受影响的管理员,则不约而同地开启了这个标签的功能,导致了这个标签,从而导致论坛被挂马。我们发现在这一设置上,论坛管理员似乎相当随性。7 N/ `) P$ y, ^+ X% l0 U9 L6 G. m
所以当流科技建议,非必要版块请关闭flash功能,如开启flash功能,请严格把控会员组权限。具体操作方法如下:8 w8 k+ ]/ W( f; H! x

! C  ?: P/ E4 O) P9 y9 m& L一、关闭discuz! flash标签方法
3 U3 Y* _1 u4 H7 A" u
* B% z/ S$ t+ Q# v1 f# x: C. ?1、登录discuz论坛后台-论坛-找到论坛版块-编辑这个版块-找到帖子选项-允许使用多媒体代码: 选择 否
$ P$ H( Q/ b+ E7 [) N$ q

- }* h8 y3 ^# P' g/ r  ?7 p如图:

* l, X3 P5 Q& n* L! x% a  i' }1 a
  z. {7 v! W, W# ]
2 {2 j$ d- w, {  n9 M$ x
f.jpg 4 e  u9 l) r$ S1 Q4 o

' j! A: |2 C1 \5 ?' E; F
/ D7 w* I! T. z: G二、单独设置用户组权限
9 T7 ]3 \2 l8 D/ ?4 `  r, j' `0 S/ I* t( \3 |" s3 B8 A
1、登录discuz论坛后台-论坛-用户用户组-会员用户组-找到要编辑的组
+ b& U4 @& W5 G- T8 Z3 n0 a  Y( S/ D4 R6 Z( ^8 e/ @
h.jpg 2 o$ m0 r6 ]6 q/ s! K4 N9 x

) g4 s) Z  U+ j, l2、论坛相关-帖子相关-允许使用 [audio] [media] [flash] 等多媒体代码: 选择否
! Y, `( D2 c- `! `: X! L! N1 d
1 H4 V; ~, j2 D& f$ F- p: D
  W) b3 a1 ~8 V9 M9 f) h. X, y
- Z  ~/ J3 e( B/ C5 u" \% r2 e

2 d& |/ J% A% @# W t.jpg
! j' `0 o2 R8 S
当流科技-专业Discuz建站、仿站业务,专注处理discuz!论坛挂马,专注提供论坛托管维护服务! 提供Discuz论坛空间、VPS、云服务器!咨询QQ 569160956 778521512
回复

使用道具 举报

菜小白 发表于 2017-10-3 18:43:34 来自当流科技手机版 | 显示全部楼层
直接给flash权限给禁掉
当流科技-专业Discuz建站、仿站业务,专注处理discuz!论坛挂马,专注提供论坛托管维护服务! 提供Discuz论坛空间、VPS、云服务器!咨询QQ 569160956 778521512
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

精彩课程推荐

Discuz!论坛网盘附件免跳转下载(手机版网

主讲:当流科技 Discuz插件

抱歉,当前存在网络问题或服务器繁忙,详细错

主讲:我心枫叶 Discuz!教程

宝塔面板绑定域名无法访问后台怎么解决?

主讲:风雨兼程 服务器学院

discuz论坛搬家教程,如何搬迁到新服务器?

主讲:风雨兼程 Discuz!教程

宝塔面板phpmyadmin 数据库502 Bad Gateway

主讲:当流科技 服务器学院

Discuz!X3.3全新安装和升级后快速回复框丢

主讲:风雨兼程 Discuz!教程

宝塔面板mysql怎么用navicat 连接数据库呢

主讲:当流科技 服务器学院

Discuz! X3.4虚拟人气虚拟用户在线插件 完

主讲:执手天涯 Discuz插件

商务合作

0551-66191059
service#dangliu.net
点击这里给我发消息
dz论坛/Discuz!论坛新手

关注微信公众号

QQ扫码 加 DZ技术群