当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-06564

漏洞标题：Discuz!所有版本敏感帐号注册

相关厂商：Discuz!

漏洞作者： zhk

提交时间：2012-04-30 21:05

修复时间：2012-05-04 13:56

公开时间：2012-05-04 13:56

漏洞类型：账户体系控制不严

危害等级：中

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-04-30： 细节已通知厂商并且等待厂商处理中
2012-05-04： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

用来社工和骗人，应该可以

详细说明：

允许特殊帐号注册如admin,Αdmiп,аdmin,admiп,аdmiп,Αdmin（就用一些特殊字符替换）
可以伪造管理员，版主或者一些与权威的用户的帐号

漏洞证明：

discuz.net上的admin,Αdmiп,аdmin,admiп,аdmiп,Αdmin全被注册了，还可以模仿某些版主的帐号

修复方案：

禁止特殊字符

版权声明：转载请注明来源 zhk@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-05-04 13:56

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2012-04-30 21:06 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @xsser 这个算吧？？？

  2. 2012-04-30 21:09 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    额

  3. 2012-04-30 21:14 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    - - 比如啥 webmaster postmaster xx_admin之类的吗...

  4. 2012-04-30 21:15 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @Say 差不多又好像不是

  5. 2012-04-30 21:22 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk 这个比起之前我用autopost@baido.com的企业邮箱去钓鱼的手法有过之而无不及啊~= = discuz!受众比较广

  6. 2012-04-30 21:24 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @Say 呵呵，差不多，不过好像不支持邮箱

  7. 2012-04-30 21:25 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk 嗯哼~

  8. 2012-04-30 21:40 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    我想比如在一些商品交易的网站这个问题应该能大显身手

  9. 2012-04-30 21:41 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk 用来社工？

  10. 2012-04-30 21:44 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @Say 说说而已

  11. 2012-04-30 21:45 | lazypeople ( 路人 | Rank:22 漏洞数:6 )

    我就在大学的论坛注册了一个webmaster，但是这个可以在后台禁止注册吧。。一条评论大家都收到一条信息，哇哈哈哈，找吃的去，饿死我了

  12. 2012-04-30 21:48 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @lazypeople 这是前后台用户session交换问题吧

  13. 2012-04-30 21:55 | Say ( 路人 | Rank:17 漏洞数:4 | 谁又会鉴定谁正常？)

    @zhk = = 嗯。社工这东西太神奇了

  14. 2012-04-30 22:09 | sker ( 路人 | 还没有发布任何漏洞 | 暂无)

    @zhk 属于帐号过滤问题？

  15. 2012-04-30 22:10 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @sker 差不多，不过用户还是普通用户

  16. 2012-04-30 22:23 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    印象中好像是特殊字符串注册人肉无法分辨的帐号名称，忘了哪期杂志说过，也找不到原文出处了

  17. 2012-04-30 22:25 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @horseluke “是肉眼吧”，我在社区说过了

  18. 2012-04-30 22:28 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @zhk 是的，我打太快打错了。给社区的link看看？

  19. 2012-04-30 22:31 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @horseluke 就跟你说的一样 http://zone.wooyun.org/content/129

  20. 2012-04-30 22:33 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    不过这个 也比较难预防吧

  21. 2012-04-30 22:35 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @xsser 特殊字符过滤 就你说的新浪微博，你可以试试

  22. 2012-04-30 22:37 | horseluke ( 普通白帽子 | Rank:116 漏洞数:18 | Realize the dream in earnest.)

    @xsser 有一种缓解方法，需要自行改写程序，加入提醒内容什么的，但又要不能被弄巧反拙（类似案例： WooYun: 腾讯你们自己也钓鱼？邪恶了~ ）。所以确实有点难解。不过觉得这个威胁对那种相互在真实世界不太熟悉对方身份的论坛威胁更大。

  23. 2012-04-30 23:10 | imlonghao ( 普通白帽子 | Rank:730 漏洞数:74 )

    敏感账号注册后台由站长设置，不属于BUG吧。。

  24. 2012-04-30 23:14 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @imlonghao 所以要大点的网站

  25. 2012-05-01 03:31 | 一刀终情 ( 普通白帽子 | Rank:156 漏洞数:28 | ‮‮PKAV技术宅社区-安全爱好者)

    这个好像看到过，注册名后面跟特殊不可见字符；好像两年前的黑防？

  26. 2012-05-01 11:13 | Ray ( 实习白帽子 | Rank:75 漏洞数:7 )

    @xsser 压力山大。

  27. 2012-05-04 19:40 | sker ( 路人 | 还没有发布任何漏洞 | 暂无)

    @zhk 那么就没有什么有意义了 过滤这东西 要过滤的太多了 社工的意义貌似也不怎么大

  28. 2012-05-04 22:15 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @sker 只要允许英文和数字和个别符号注册就可以了，还有用这个伪造版主发的东西下载量也不是一般的多（当然回复要限制）

  29. 2012-05-04 23:06 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @xsser 社区我登不上去，能帮我看看吗？就提示登录成功后跳转以后还是没登录的页面，从报告平台过去也是一样（本来应自动登录的是吗？）。火狐，Chrome，Opera，IE。XP,Fedora，手机上都是一样。还是我被禁止发言了(我有心理阴影的):'(

  30. 2012-05-05 02:49 | Blackeagle ( 实习白帽子 | Rank:62 漏洞数:10 | 向WooYun致敬)

    呃。。这个都忽略，如果黑客用这些帐号钓鱼骗人怎么办？还请Discuz!慎重考虑。

  31. 2012-05-07 23:26 | 犯罪嫌疑猪 ( 路人 | Rank:0 漏洞数:1 | 也暂无)

    这不是都限制了么

  32. 2012-05-07 23:41 | zhk ( 普通白帽子 | Rank:436 漏洞数:70 | 先看公告～)

    @犯罪嫌疑猪 应该说上面举的号都被注册了

  33. 2012-07-22 19:27 | safe121 ( 实习白帽子 | Rank:98 漏洞数:11 | http://www.gov.cn)

    用unicode也可已吧？