PHPWind论坛程序鲜为人知的秘密

孤魂 · 发表于 2008-4-23 22:56:01

其实在一年前我就发现了这个小小的漏洞，因为那时候处于对采集的需要，所以没有发布出来，因为PHPWind修复这个漏洞的话，会给采集造成一些困难，好了，不讲太多了，直接说事情：以PHPWind官方论坛为例，如果你没有登录他们的论坛，请打开（http://www.phpwind.net/thread-htm-fid-57.html），你会发现系统提示需要登录才可以查看内容：

继续，因为PHPWind在5.1以后，使用了动态Cookie值，所以给采集造成了一些困难，其实我们还是有办法解决的，就是使用PHP模拟Cookies，伪造登录状态，另外，如果他的后台只设置了用户组访问权限的话，我们很方便就可以查看到他的内容了，这就是今天要讲的一个小发现，你将www.phpwind.net加入IE的受限制站点然后在刷新一下刚才那个需要特殊用户组才可以访问的版块在试试

看到了吗？我并没有登录，但是可以直接访问了，呵呵，如果其它XX站使用PHPWind架设的，而且有用户组访问限制……省略掉五百文字，但是这个只局限于后台的对用户组访问的设置，如果有积分限制的话，就没办法啦

孤魂 · 发表于 2008-4-23 22:56:42

原文链接：http://www.kalvin.cn/?action=show&id=105

沦陷今生 · 发表于 2008-4-23 23:24:44

恩,支持,也可以在COOKIE值上实现.

q868 · 发表于 2008-4-24 00:20:15

提示: 作者被禁止或删除内容自动屏蔽

飛越無限 · 发表于 2008-4-24 10:11:04

没玩过这个

soarb · 发表于 2008-4-24 10:26:26

使用了动态Cookie值，所以给采集造成了一些困难，其实我们还是有办法解决的，就是使用PHP模拟Cookies，伪造登录状态

我不相信你有这技术！上次叫你写个模块就需要这技术也不写，不知道是闲价低还是什么的

lawse · 发表于 2008-5-3 09:39:05

谢谢楼主

laoli99 · 发表于 2008-9-24 06:11:09

晕~原来这样得呀~

帐号		自动登录	找回密码
密码			加入会员

q868 q868 当前离线积分 15 金币个火车车厢节头像被屏蔽	发表于 2008-4-24 00:20:15 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
q868 q868 当前离线积分 15 金币个火车车厢节头像被屏蔽
	回复支持反对举报

PHPWind论坛程序鲜为人知的秘密

送给那些部分无法采集需要登录的论坛的朋友