整合營銷服務商
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
Discuz是一個通用的社區論壇軟件系統。最近看到一個Discuz邏輯漏洞，該漏洞源于Discuz微信登陸功能。Discuz 3.4默認安裝了微信登陸。利用這個漏洞攻擊者可以越權登陸論壇其他會員的賬號甚至是管理員賬號，主要還得看臉。
首先看了下作者的描述，“如果有用戶點了一下綁定微信，但是并沒有綁定” 這句話說的很模糊，開始沒有明白什么意思。然后跟進代碼看了一下。
漏洞源碼位于/upload/source/plugin/wechat/wechat.inc.php文件中。在226-246行：
主要看下代碼的邏輯：
第231行：從common_member_wechatmp表查詢對應openid的第一條結果，這里openid可以由用戶控制。
$mpmember=C::t('#wechat#common_member_wechatmp')->fetch_by_openid($wxopenid ? $wxopenid : $_GET['wxopenid']);
下面是fetch_by_openid函數。
232行：從common表中取出對應uid的所有結果，array_keys($mpmember)返回的是上一步查詢數據的uid值。
$mpmembers=C::t('common_member')->fetch_all(array_keys($mpmember));
234-237行：
取上一步的第一條數據，然后從common_member_archive表里取出對應uid的用戶數據，將該用戶設置為登錄狀態。
$memberfirst=array_shift($mpmembers);
$member=getuserbyuid($memberfirst['uid'], 1);
if($member) {
setloginstatus($member, 1296000);
根據上述邏輯，也就是說只要知道用戶的openid就能登陸用戶的賬號。看了下微信接口文檔，這個openid是唯一的，并且只有用戶授權了之后，公眾號才可以獲取。這里顯然得不到openid。
在作者的payload中沒有看到openid參數。
其實這個Payload只是登陸了openid為空的第一個用戶。openid為空的情況目前發現通過/plugin.php?id=wechat:wechat&ac=wxregister&username={name}這種方式可以使openid為空，但注冊的是一個新的賬號。
根據作者所說 “如果有用戶點了一下綁定微信，但是并沒有綁定，會寫入common_member_wechatmp”，這里“并沒有綁定”的意思就是綁定失敗，openid為空，但作者使用的何種綁定方法說的很模糊。
第二個是越權解除指定uid綁定的微信。同樣在webchat.inc.php，判斷csrftoken正確后，刪除common_member_wechatmp表中對應uid的數據。
根據以上兩個洞，可以遍歷并且登陸所有openid為空的賬戶。先登錄第一個openid為空的賬號->然后解綁->再登陸之后即為第二個openid為空的用戶……，臉好的話是可以登陸admin的。
解除指定uid綁定的微信：/plugin.php?id=wechat:wechat&ac=unbindmp&uid={uid}&hash={formhash}
登陸第一個openid為空的賬號：/plugin.php?id=wechat:wechat&ac=wxregister
在最新版本中作者刪除了這段代碼。下載最新版即可。
https://gitee.com/ComsenzDiszuz/DiscuzX/issue/IPRUI
本文由白帽匯原創，轉載請注明來源：https://nosec.org/home/detail/2256.html
白帽匯從事信息安全，專注于安全大數據、企業威脅情報。
公司產品：FOFA-網絡空間安全搜索引擎、FOEYE-網絡空間檢索系統、NOSEC-安全訊息平臺。
為您提供：網絡空間測繪、企業資產收集、企業威脅情報、應急響應服務。
丟雷~
【百度云 http://pan.baidu.com/s/1o7KF42e acsw】
正所謂上戰靠“兵器”，想要更加順手使用discuz建站的小伙伴們不妨練練基礎能力，前臺頁面效果需要懂得html、css、js，數據傳輸則需要懂得php，如果能了解精通設計技能便可以一個人獨立完成網站的深入搭建。
小弟不才~╮(╯▽╰)╭~哎，設計出身半路闖入程序世界從此深陷其中，“不會敲代碼的設計師不是好前端”哈哈哈。
進入正題：如上撒出的教程是基礎PS教程專治頁面效果圖片處理等等疑難雜癥，有興趣的小伙伴們看看絕對是好的~
Adobe Photoshop，簡稱“PS”，是由Adobe Systems開發和發行的圖像處理軟件。
Photoshop主要處理以像素所構成的數字圖像。使用其眾多的編修與繪圖工具，可以有效地進行圖片編輯工作。ps有很多功能，在圖像、圖形、文字、視頻、出版等各方面都有涉及。
評論區里留下郵箱我會將Adobe大師版設計安裝包以及PS CC安裝包（可以選擇安裝Adobe全家福或者單獨安裝PS CC）發到你的郵箱~
咱下期見
行外人來講，在預備做一個網站項目時，最想了解的無非就是網站制作的悉數流程。網站制作是要有計劃的，事先策劃好才能更快更好的完成。網站的幾個基本組成元素:域名+空間+程序+模板+維護經驗+日常管理.網站建設 是一個綜合性的技巧，小說網站也不例外，這個就像種菜,并不是說看個操作流程就一定會種菜，還要土壤，水肥，氣候，直接間接的相關知識都做足夠的了解，才能真正去操作，最終還要一個好的服務商。下面為大家介紹幾點網站制作最基本的要求：
第一階段：開始時最好是學些網頁編輯軟件和基礎網頁腳本語法，如：Dreamweaver軟件，HTML語法(百度一下：HTML入門)，CSS語法(百度一下：CSS入門)，這樣可以使您更了解網頁制作與運營的原理。最好是拿本教程來學學，結合教程邊學習邊制作，這最多花你一周時間，如果有時間再學點javascript腳本語法(百度一下：javascript入門)。
第二階段：會用網頁制作軟件和基礎語法后，已會可以制作一個較完整的網站了。當然為了讓網站做得更漂亮，功能更強大，你就需要學一些動態編程語言，常用的有ASP,PHP和ASP.NET,推薦后兩種，應為ASP再過一段時間會被淘汰，后兩種程序區別自己上網搜索吧，本人更傾向于學習.NET，面向對象，功能太強了，微軟的東西就是強悍。
如果你沒有精力去學這些復雜動態編程語言，你完全可以利用現成的網站管理系統（實際也叫建站軟件，比如PageAdmin系統、shopex系統、discuz系統等都比較優秀），這也是目前比較流行的方法，省時、省力。
第三階段：結合你自己已掌握地知識來開發網站，可以開發出別人給你定義的目標網站。到了這個時候，你就成為真正的網站開發者了。
怎樣制作網頁，不是說一兩篇文章能夠說清楚的。以上介紹的是制作網頁的主要綱要和一些捷徑，希望能夠給想要學習制作網頁的朋友一個參考。
{img2}工具
1 、網頁做好了肯定是要發表上網的，所以必須先申請一個空間；免費的空間不是很穩定，容量又小，也不好申請，建議到服務器公司先買一個個人空間，大概有個20M 以上的就可以了，當然也可以在自己電腦上安裝IIS來模擬服務器運行（這里不詳細說了，有興趣的朋友百度一下相關知識，這個是很容易的）
2 、圖片處理軟件推薦firework或photoshop，HTML編輯軟件推薦Dreamweaver，當然如果你會HTML語法，那用計事本直接編輯會更高效。
教程
花點時間，找個比較通俗易懂的教程看一看是很有必要的。每個網頁的組成，不外是文字、表格、圖、動畫還有就是背景音樂等幾個大的元素，搞清楚如何將這些元素擺放進去，你也就算懂得如何制作網頁了。
制作
開始時建議去下載一個比較簡單的網頁，在制作軟件中將它打開，然后仔細觀察人家的網頁的構成，模仿它去填充各種元素，實踐中再配合著教城，進度會快很多，記得也牢一些。
其實做網頁并不難，但要做出有特色的網頁來，那就非一朝一夕之功了。
一點個人的粗淺體會，不妥之處敬請指正。
{img3}網站設計八步驟
由于目前所見即所得類型的工具越來越多，使用也越來越方便，所以制作網頁已經變成了一件輕松的工作，不像以前要手工編寫一行行的源代碼那樣。一般初學者經過短暫的學習就可以學會制作網頁，于是他們認為網頁制作非常簡單，就匆匆忙忙制作自己的網站，可是做出來之后與別人一比，才發現自己的網站非常粗糙，這是為什么呢？常言道：“心急吃不了熱豆腐”。建立一個網站就像蓋一幢大樓一樣，它是一個系統工程，有自己特定的工作流程，你只有遵循這個步驟，按部就班地一步步來，才能設計出一個滿意的網站。
一、確定網站主題
網站主題就是你建立的網站所要包含的主要內容，一個網站必須要有一個明確的主題。特別是對于個人網站，你不可能像綜合網站那樣做得內容大而全，包羅萬象。你沒有這個能力，也沒這個精力，所以必須要找準一個自己最感興趣內容，做深、做透，辦出自己的特色，這樣才能給用戶留下深刻的印象。網站的主題無定則，只要是你感興趣的，任何內容都可以，但主題要鮮明，在你的主題范圍內內容做到大而全、精而深。
二、搜集材料
明確了網站的主題以后，你就要圍繞主題開始搜集材料了。常言道：“巧婦難為無米之炊”。要想讓自己的網站有血有肉，能夠吸引住用戶，你就要盡量搜集材料，搜集得材料越多，以后制作網站就越容易。材料既可以從圖書、報紙、光盤、多媒體上得來，也可以從互聯網上搜集，然后把搜集的材料去粗取精，去偽存真，作為自己制作網頁的素材。
三、規劃網站
一個網站設計得成功與否，很大程度上決定于設計者的規劃水平，規劃網站就像設計師設計大樓一樣，圖紙設計好了，才能建成一座漂亮的樓房。網站規劃包含的內容很多，如網站的結構、欄目的設置、網站的風格、顏色搭配、版面布局、文字圖片的運用等，你只有在制作網頁之前把這些方面都考慮到了，才能在制作時駕輕就熟，胸有成竹。也只有如此制作出來的網頁才能有個性、有特色，具有吸引力。如何規劃網站的每一項具體內容，我們在下面會有詳細介紹。
四、選擇合適的制作工具
盡管選擇什么樣的工具并不會影響你設計網頁的好壞，但是一款功能強大、使用簡單的軟件往往可以起到事半功倍的效果。網頁制作涉及的工具比較多，首先就是網頁制作工具了，目前大多數網民選用的都是所見即所得的建站系統軟件(前面提到的網站管理系統)。除此之外，還有圖片編輯工具，如firework 、Photoshop 等；動畫制作工具，如Flash等；網上有許多這方面的軟件下載，你可以根據需要靈活運用。
四、明確網站主題和內容
1、首先確定你要制作的網頁的主題，就是你建這個網站的內容是什么
2、確定你的網頁的閱讀對象，就是你的網頁是準備給那些人看的；
3、選擇制作網頁的工具軟件，比如PageAdmin系統、shopex系統、discuz系統這些，當然還有很多優秀軟件，大家可以在以后慢慢接觸到。
4、如果你作好了頁面，就需要考慮你的網頁放到什么地方發表，也就是平常我們說的發表空間，我們學校的用戶網絡中心已經申請好了空間，大家可以直接使用（有發布空間的標志是你有了FTP 賬號，這個需要申請），也可以按我前面說的把自己電腦配置為服務器（需安裝IIS等軟件，這個自己百度一下）
五、制作網頁
材料有了，工具也選好了，下面就需要按照規劃一步步地把自己的想法變成現實了，這是一個復雜而細致的過程，一定要按照先大后小、先簡單后復雜來進行制作。所謂先大后小，就是說在制作網頁時，先把大的結構設計好，然后再逐步完善小的結構設計。所謂先簡單后復雜，就是先設計出簡單的內容，然后再設計復雜的內容，以便出現問題時好修改。在制作網頁時要多靈活運用網站管理系統后臺功能，這樣可以大大提高制作效率。
{img5}六、上傳測試
網頁制作完畢，最后要發布到Web 服務器上，才能夠讓全世界的朋友觀看，現在上傳的工具有很多，推薦LeapFTP軟件，你可以很方便地把網站發布到自己制作的網站存放服務器上。網站上傳以測試完畢就可以把你的網址告訴給朋友或客戶，讓他們來瀏覽。
七、推廣宣傳
網頁做好之后，還要不斷地進行宣傳，這樣才能讓更多的朋友認識它，提高網站的訪問率和知名度。推廣的方法有很多，例如到搜索引擎上注冊、與別的網站交換鏈接、加入廣告鏈等。
八、維護更新
網站要注意經常維護更新內容，保持內容的新鮮，不要一做好就放在那兒不變了，只有不斷地給它補充新的內容，才能夠吸引住瀏覽者。
學習可以找我基礎資料全套 還有國內主流的SEO大咖的視頻教學，真羨慕，我們以前可沒手把手的視頻教學。微信公眾號搜索：李昉互聯網營銷，就可以獲取學習資源。
*請認真填寫需求信息，我們會在24小時內與您取得聯系。
