近期我们SINE安全在对discuz x3.4进行全面的网站渗透测试的时候，发现discuz多国语言版存在远程代码执行漏洞，该漏洞可导致论坛被直接上传webshell,直接远程获取管理员权限，linux服务器可以直接执行系统命令，危害性较大，关于该discuz漏洞的详情，我们来详细的分析看下。
复制代码 修改: $dreferer 為转向的连接 例如:
2019年7月11日，网络上出现了一个Discuz！ML远程代码执行漏洞的PoC，研究员验证分析发现，攻击者能够利用该漏洞在请求流量的cookie字段中（language参数）插入任意代码，执行任意代码，从而实现完全远程接管整个服务器的目的，该漏洞利用方式简单，危害性较大。漏洞影响范围包括如下版本。
转载地址：http://www.cnblogs.com/LY-leo/p/5843439.html
2018年12月9日，国内某安全组织，对discuz X3.2 X3.4版本的漏洞进行了公开，这次漏洞影响范围较大，具体漏洞是discuz 的用户前段SQL注入与请求伪造漏洞，也俗称SSRF漏洞，漏洞产生的原因首先：php环境的版本大约PHP5.2，dizcuzX3.2 X3.4版本，服务器环境是windows 2008 2003 2012系统，linux centos不受此漏洞的影响。
1DISCUZ漏洞 2017年9月29日，Comsenz向Discuz!X官方Git提交了加强安全性的代码更新，代码更改记录： https://gitee.com/ComsenzDiscuz/DiscuzX/commit/7d603a197c2717ef1d7e9ba654cf72aa42d3e574 根据分析，在 source/include/spacecp/spacecp_profile.php 文件中的unlink函数存在文件操控漏洞，利用该漏洞可能实现前台用户恶意删除站点文件，建议尽快更新和修补代码
Discuz!论坛目前最新版本为3.4版本，已经好久没有更新了，我们SINE安全在对其网站安全检测的同时发现一处漏洞，该漏洞可导致论坛的后台文件可以任意的删除，导致网站瘫痪，后台无法登陆。关于该网站漏洞的细节我们来详细的分析看一下：
Discuz!是一个用PHP编写的论坛框架,像六维以及我们学校少年班学院的格物致知论坛都是搭建在Discuz!上面的,看论坛页面左下角,都写着”Powered by Discuz!xxx”,其中xxx表示Discuz!的版本号.因为我们实验室师兄用内网搭建了个服务器管理的论坛,而且我之前也尝试过搭建wordpress博客(详细过程可以看我这篇博客)而且成功了(其实没什么技术含量….),估计这个过程也差不多,所以我就想试试Discuz!能否搞定.但我们学校有规定,不能用freeshell搭建网络论坛的,所以我就在我电脑上试着搞搞Discuz!玩玩.
大家好，我是Discuz! Q。 作为中文PC互联网最知名的社区开源软件Discuz!，在过去15年间，服务过超过200万网站客户。其推出的UCenter、Supesite、ECshop等组件所代表的的产品理念对今天移动互联网各类产品的技术架构至今仍有着深远的影响，毫不夸张的说，Discuz!代表了互联网2.0时代里社交网络的最初形态。 近10年来，中文互联网发生了天翻地覆的变化，应用形态从PC迁移到了移动端，深刻的改变了人们获取信息的方式，与此同时，开源服务的技术形态业从私有化部署走向了以Saas为代表
discuz根目录——》template——》default——》forum——》discuz.htm
搭建一个论坛需要懂哪些编程知识？简单估算一下： 1.用户侧的交互少不了，前端基础知识至少要懂（HTML+CSS+JS），更别提VUE之类的前端框架； 2.后台处理方面，至少要掌握一门后端语言（如C++\JAVA\PHP\Python），了解基本的数据结构和算法； 3.要存储和管理论坛上用户沉淀数据，得会数据库管理员的基础知识吧？ 4.另外，计算机网络、编译原理、操作系统……都是不可或缺的知识基础。 “那没有受过专业编程培训，想自己搭建一个社区……究竟有没有机会？” 当然有，还很快！ “Discuz! Q
漏洞原因：Discuz!ML 系统对cookie中的l接收的language参数内容未过滤，导致字符串拼接，从而执行php代码。
2019年7月11日， Discuz！ML被发现存在一处远程代码执行漏洞，攻击者通过在请求流量的cookie字段中的language参数处插入构造的payload，进行远程代码执行利用，该漏洞利用方式简单，危害性较大。
小九今天整理了Discuz使用过程中经常出现的一些问题和故障，包括安装、使用等各个部分的常见问题及答案。
Discuz是国内比较知名的开源论坛了，后来被腾讯收购，Discuz在设计时就考虑了生态体系的建设，支持插件设计，可以让广大开发者朋友来一起建设生态，不得不说设计者是很有商业头脑的。
若干年前，曾有一个PHP论坛程序论坛程序风靡互联网，哪哪都看到他。相信你已经猜到了，他就是—— Discuz! 作为白帽子的你是不是还发现过/利用过他的漏洞，现在是不是还有一点点怀念他？ 好消息，他来了他来了，为移动互联网而生的全新Discuz! Q，带着众测回来了！ Discuz!现由腾讯云DNSPod团队维护，准备开启新的Q系列，Discuz! Q内测版网友见面地址：https://www.dnspod.cn/promo/discuzq，演示站点：https://discuz.chat/ 腾
这个识别程序是本学期在我的职业培训项目。它是做一类似至Zoomeye怪东西，然后使用ES集成，为了让搜索引擎寻找。因此，我们必须首先去网上识别相应的能力Web包裹，如果用户输入的关键词：Discuz X3.0。我就要显示出对应版本号的内容才OK。
同时感谢n1nty、pr0mise、2月30日对本文提出的宝贵建议。文章内容较多，建议点击文末“阅读全文”，跳转到博客阅读。
Discuz! Ucenter API for JAVA 使用自己的项目于discuz联合登陆注册。 http://pan.baidu.com/s/1kTwWPP9 测试代码和源码都在这里。 源码和jar文件都在http://code.google.com/p/discuz-ucenter-api-for-java/ 有。 我只测试了非中文的注册。中文注册可以去http://code.google.com/p/discuz-ucenter-api-for-java/ 查看中文处理。 里面的源代码。我
7月15日，腾讯云正式对外发布了全新系列产品——Discuz! Q1.0。Discuz! Q系列产品与以往的Discuz! X系列完全不同，定位于私域流量经营系统，主打知识付费、粉丝圈子、社交电商三大核心场景，旨在解决自媒体大V、MCN机构、明星后援会、游戏公会、消费者品牌等五大类客户的跨平台粉丝经营管理需求。
自2020年10月云开发支持一键部署 Discuz! Q 以来，受到了众多开发者的支持和喜爱，不少开发者用来搭建游戏社区、社交电商、招聘信息发布平台，玩得不亦乐乎。 同时，也有小伙伴提出了一系列问题，例如用云开发部署 Discuz! Q ，一个月大概收费是多少、欠费了会怎样、流量会被刷吗、是否支持二次开发等。 本文就整理了近期云开发一键部署 Discuz! Q 更新的重磅能力，并集中解答开发者最关心的问题。 云开发部署 Discuz! Q 介绍 Discuz! Q 定位于私域流量的承载和经营工具，可以5分
Crossday Discuz! Board（简称 Discuz!）是北京康盛新创科技有限责任公司推出的一套通用的开源的社区论坛软件系统。采用 PHP 和 MySQL 构建的性能优异、功能全面的社区论坛平台。利用特殊构造的请求触发可参与文件删除操作，导致了任意文件删除漏洞的发生。早在2014年有白帽子向官方报告了一个类似的漏洞，但是由于没有修补全导致还有其他方式可以进行利用。 *由于Discuz官方暂未发布正式补丁及升级包，FreeBuf对漏洞细节暂不公开 影响范围 Discuz! X3.3 Discu
自2020年10月云开发支持一键部署 Discuz! Q 以来，受到了众多开发者的支持和喜爱，不少开发者用来搭建游戏社区、社交电商、招聘信息发布平台，玩得不亦乐乎。
作为互联网上的老站长，相信你一定不会对 Discuz 陌生，Discuz 作为风靡互联网的论坛程序，你可以十分轻松的完成一个论坛的搭建。不仅如此，Discuz 本身强大的 CMS 功能，也让内容的发布变的简单无比。 不过，作为一个动态程序， Discuz 难免遇见安全问题。如何在享受 Discuz 强大的 CMS 功能的同时，获得更高的安全性？静态化是一个不错的解决方案。 接下来，我们来看一下，如何将 Discuz 生成静态页面，并部署至腾讯云云开发来完成静态化。 生成静态页面 登陆你的 Discuz 后
Discuz 3.4是目前discuz论坛的最新版本，也是继X3.2、X3.3来，最稳定的社区论坛系统。目前官方已经停止对老版本的补丁更新与升级，直接在X3.4上更新了，最近我们SINE安全在对其安全检测的时候，发现网站漏洞，该漏洞是由于用户登录论坛的时候调用的微信接口，导致可以进行任意登录，甚至可以登录到管理员的账号里去。
漏洞知识库 网络安全/渗透测试/代码审计/ 关注 Dom Xss实例 [Discuz X2.5] 我们教程的DOM XSS就到这里了。最后再给大家送上一个实例。希望大家能够体会到：XSS的上下文非常重要，如何结合上下文，利用未过滤字符，合理的构造，才是成功的关键。 哎，近几天相信别人有世界末日，跑到一个方舟里避难去了。结果3天过后，我发现世界还是如此的精彩，如此的辉煌，我就又出来了。咱们继续。 这年头，码字不容易，求月票。 1. 我们直接看实例点。 http://www.discuz.net/connec
小编从事网站制作这个行业也有不少年头了，从最开始的网站制作只能找网络公司代为制作，到现在的几乎都采用cms建站系统来制作，国内cms建站系统很多，其中有一些很优秀的免费cms建站系统被广大用户所使用，下面小编就给大家介绍一下国内用的比较多的一些免费cms建站系统，希望对大家有所帮助。
关注阿D了吗？点蓝字加关注 最近阿D的一位程序朋友遭遇了以下一幕： 真是两个让人心（gan）疼（tong）不（shen）已（shou）的小哥哥 。 你以为以上内容是重点吗？当然不是！ 你以为这就是程序猿的最终归宿吗？我们坚决说NO！ 现在加粗加背景划重点： 最近部门急速扩张、业务产品不断增多，这不？大Boss奶罩又申请了前端、后端、产品的海量hc ，机会多多！只要敢投就有机会。声甜人美的hr小姐姐坐等来撩~ 【域名产品后端研发】 岗位职责： 1. 负责腾讯云域名产品（DNSPod）及备案系统的
你知道吗？小白也可以安装Discuz!Q啦！你不需要敲代码也不用懂太多的技术，严格按照下面的安装教程操作，就可以成功安装上Discuz!Q。 在开始之前，我们先来了解一下，安装Discuz!Q的两大要素是：域名和服务器。简单来说，域名是用来打开网站的大门，在浏览器上输入域名，你就能打开相应的网页；而云服务器则是一个用来存放网站内容的地方。 当然，想要让别人正常访问你搭建的站点，你需要给网站做备案；想要使用域名打开相应的站点，你需要将域名解析到对应的IP地址；想要在浏览器上安全访问你的站点，你还需要安装SS
投递邮箱：vanfzhou@tencent.com Discuz!后端研发工程师 1. 熟练使用PHP；熟练使用Laravel框架；有丰富PHP项目的实战经验 ； 2. 主导或带领研发团队开发的经验； 3. 对mysql/redis/memcache等数据库理解深入并熟练使用，有mysql性能调优经验。 4. 良好的理解沟通能力，合理进行任务分解，并以模块化的思维进行代码设计； 5. 具有良好的代码风格、接口设计规范； 6. 对php-psr规范有深度研究优先； 7 研究过flarum开源代码或使用co
Discuz是国内最流行的论坛软件管理系统，今天小编跟大家分享一篇关于Discuz二次开发基本知识详细讲解，感兴趣的朋友跟小编一起来了解一下吧!
各位同学，好久不见。假期结束，我们的课程又要继续了。这几天持续高温，让人只想躲在空调房里吃西瓜，你的城市是不是也在火炉上烤着呢？不过我相信，大家学习编程的热情比这气温还要高！ 之前说了，要和大家分享一下搭建论坛的方法。然后我在论坛上的建站区转发了一篇教程。今天我来简单整理一下基本流程，中间的细节请参考论坛上的文章，每一步都有配图。（点击文章末尾的“阅读原文”可进入文章） 0.我们搭建的这个论坛，选择用百度的BAE+discuz论坛的方法。 BAE是百度提供的“云环境”，你可以把它当做一个免费的网站服务器，用
在这紧张的市场环境中，你们等了很久的DNSPod机会来啦！！！话不多说，小伙伴们请直接看招聘信息吧！ 【域名产品后端研发（4人）】 岗位职责： 1. 负责腾讯云域名产品（DNSPod）及备案系统的后端开发； 2. 负责域名管理相关功能的实现，包括域名注册、解析等功能开发； 3. 负责域名管理系统的架构规划、性能优化等工作； 4. 负责备案系统的功能开发。 岗位要求： 1. 熟练使用PHP、至少熟悉并使用过其中一种PHP开源框架（如：CI、Laravel、Lumen等）、有PHP项目的实战经验； 2. 熟
0x00 概述 9月29日，Discuz修复了一个前台任意文件删除的漏洞，相似的漏洞曾在2014年被提交给wooyun和discuz官方，但是修复不完全导致了这次的漏洞。 0x01 影响范围 Disc
大家好，又见面了，我是你们的朋友全栈君。 必须至少具备如下技能： 1) 能够理很好理解MVC构架的原理(虽然DZ不是MVC架构的) 2) 扎实的PHP基础，熟悉结构化程序，OOP程序的写法及应用 3) 熟悉MYSQL就用，掌握SQL语言，懂SQL优化者更佳 4) 熟悉使用Discuz!的各项功能 一) Discuz!的文件系统目录 注：想搞DZ开发，就得弄懂DZ中每个文件的功能。 a) Admin：后台管理功能模块 b) Api：DZ系统与其它系统之间接口程序 c) Archiver：DZ中，用以搜索引擎优
Discuz！ML 是一个由 CodersClub.org 创建的多语言，集成，功能齐全的开源网络平台，用于构建像 “社交网络” 这样的互联网社区。该引擎基于 Comsenz Inc. 创建的着名的 Discuz！X 引擎开发。
云开发CloudBase是腾讯云提供的云原生一体化开发环境和工具平台，为开发者提供高可用、自动弹性扩缩的后端云服务。
云开发静态托管是云开发提供的静态网站托管的能力，静态资源（HTML、CSS、JavaScript、字体等）的分发由腾讯云对象存储 COS 和拥有多个边缘网点的腾讯云 CDN 提供支持
Discuz论坛是国内使用最多的论坛系统，现在最新版为X 3.4，X3.4 从 2018 年 1 月 1 日起只在官方 Git 发布，地址：https://gitee.com/ComsenzDiscuz/DiscuzX，说明已经开源了。discuz有那么多的粉丝，跟它完善的功能有很大关系，开箱即用，很多优化可以直接在后台设置，应对高并发/大数据量，那么discuz怎么优化呢？可以从以下几点来进行，跟ytkah一起来看看吧。
云开发扩展能力是云开发团队为开发者提供的一站式云端服务，旨在降低开发者使用云服务的门槛，助力开发者快速开发应用。
今天来讲讲这个主题“kubernetes部署Discuz?kubernetes搭建Discuz?DiscuzX3.5一直通信失败或DiscuzX3.5一直正在连接状态在k8s或k3s环境下如何成功调试”，先说缘起！
Discuz!X社区软件1，是一个采用PHP 和MySQL 等其他多种数据库构建的性能优异、功能全面、安全稳定的社区论坛平台。
Discuz!ML是一个由CodersClub.org创建的多语言,集成,功能齐全的开源网络平台, 用于构建像“社交网络”这样的互联网社区，漏洞版本如下：
文末有无门槛领取云开发、cynosdb、cfs免费资源福利活动，5分钟即可上线 Discuz! Q！ 在移动互联网还不普及的时候，很多互联网“前浪”有另一个更贴切的名字：站长。 站长指的是当年那些在互联网拥有独立域名的个人，负责这个网站的管理和维护，现在网上看到的各种XX网，可能很多都是当时个人站长的作品，而坐拥200多万站长用户的Discuz!也是全球成熟度最高、覆盖率最大的论坛软件系统之一。 近10年来，随着移动互联网的发展，中文互联网的形式和载体发生了翻天覆地的变化，各种移动端工具的出现，以及人与人
作者：LoRexxar'@知道创宇404实验室 日期：2017年9月30日 0x01 简 述 Discuz!X 社区软件，是一个采用 PHP 和 MySQL 等其他多种数据库构建的性能优异、功能全面、安全稳定的社区论坛平台。 2017年9月29日，Discuz!修复了一个安全问题用于加强安全性，这个漏洞会导致前台用户可以导致任意删除文件漏洞。 2017年9月29日，知道创宇404实验室开始应急，经过知道创宇404实验室分析确认，该漏洞于2014年6月被提交到 Wooyun漏洞平台，Seebug漏洞平台收
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
