黑帽联盟

标题: Discuz应用中心收集站长信息后门代码被发现 [打印本页]

作者: huangjia 时间: 2017-8-13 21:54
标题: Discuz应用中心收集站长信息后门代码被发现
dz程序存在的相关后门地址：
http://customer.discuz.net/news.php?os=dx&update=
http://customer.discuz.net/ucnews.php
http://www.comsenz.com/customer/

根据很多站长反馈发现，每个使用Discuz论坛程序的站长、管理只要登录后台则触发远端的信息上传和建立远端通信
http://customer.discuz.net/news.php?os=dx&update=

从一段代码看出discuz真的是用心良苦，【以最新Discuz! X3.2 正式版【2016-06-01】版本为例：】
后门代码路径1：\source\function\function_admincp.php
第155行（请只搜索特征符 $upgradeurl = ）：

$upgradeurl = 'ht'.'tp:/'.'/cus'.'tome'.'r.disc'.'uz.n'.'et/upg'.'rade'.'.p'.'hp?'.'os=dx&update='.rawurlencode(base64_encode($data)).'×tamp='.TIMESTAMP;

复制代码

某“官方”可能会说：This upgrade is detected discuz~诸如此类，
But：
Discuz! 补丁系统关闭的通知
http://www.discuz.net/thread-3774910-1-1.html
(出处: Discuz! 官方站)

http://customer.discuz.net/news.php，通过这个接口可以上传任何需要的信息到官方，上传地方有好几处，比如这个函数 _get_uc_info ，自动上传网站的用户数量和好友数量到官方，这可是代表网站规模和活跃度的关键数据哦，至于这些是不是隐私，该不该上传，大家自己判断吧，凡是在DISCUZ发帖质疑的，都被和谐差不多了。。。

赤裸裸的discuz的X3.2后台官方的web行径，既然Discuz! 补丁系统都关闭了，为毛你还要_get_uc_info ？

如果你远端给我来个http://customer.discuz.net/news.php?os=dx&update=远程记录删除，站长怎么办？

如果你远端给我搞个http://customer.discuz.net/ucnews.php？=上传信息获取信息，站长隐私该怎么保护？

如果黑客远端劫持了http://customer.discuz.net/news. ... h=XXX×tamp=XXX
某“官方”凭什么给站长保障？
后门真可怕，官方怎轻为？
http://customer.discuz.net/news.php?os=dx&update=. ...md5hash=d9cba4d1×tamp=1316567858

某“官方”能否解释下http://www.comsenz.com/customer/

远离后门，远离信息上传，请站长自己按需屏蔽删除：
\source\function\function_admincp.php 第155行
\uc_server\control\admin\frame.php 第35行

转载自其它网站。是否真实，用户自行分析

作者: pangkee 时间: 2017-8-14 00:45
大神测试下我们的站呀！也是dz的哈

作者: huangjia 时间: 2017-8-14 21:09

pangkee 发表于 2017-8-14 00:45
大神测试下我们的站呀！也&#26 ...

到相应的目录，看一下有没有这样的地址，有就注释掉

欢迎光临黑帽联盟 (https://bbs.cnblackhat.com/)