漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-074969
漏洞标题：Discuz! 多数版本可被暴力破解，包括UCenter
相关厂商：Discuz!
漏洞作者： lijiejie
提交时间：2014-09-04 09:41
修复时间：2014-10-19 09:42
公开时间：2014-10-19 09:42
漏洞类型：设计缺陷/逻辑错误
危害等级：中
自评Rank：8
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-04： 细节已通知厂商并且等待厂商处理中
2014-09-04： 厂商已经确认，细节仅向厂商公开
2014-09-14： 细节向核心白帽子及相关领域专家公开
2014-09-24： 细节向普通白帽子公开
2014-10-04： 细节向实习白帽子公开
2014-10-19： 细节向公众公开
简要描述：
Discuz! 多数版本均可被暴力破解，包括UCcenter，我只测试了几个例子，有些深入的工作没有做。若是要写个全自动化的工具，还得多花点心思。 :)
详细说明：
很简单的问题，Discuz取不到用户的真实IP，可以被X-Forwarded-For头和Client-IP头绕过，伪造欺骗源IP。导致攻击者可以无限次数发起登录请求。
以锤子手机的论坛为例： Discuz! X3。
找到ID为1的管理员用户是webmaster： http://bbs.smartisan.cn/home.php?mod=space&uid=1
锤子论坛没有验证码，胡乱输入错误5次，提示错误次数过多：
在FirFox的扩展中设置X-Forwarded-For头为114.114.114.114，发现又可以尝试登录了：
经测试，UCenter的登陆页照样有效：http://bbs.smartisan.cn/uc_server/admin.php?m=user&a=login&iframe=&sid=
修改Request Header可以无限次数尝试登录。
将验证码保存到本地不做处理，用tesseract识别结果如下：
解决验证码识别率的问题后，即可完成一个自动化的暴力破解工具。未进一步测试。
漏洞证明：
http://www.discuz.net(Discuz! X3.2)和http://xy2.netease.com/(Discuz! 7.2)测试，均有效
当大话西游BBS提示“密码错误次数过多，请 15 分钟后重新登录”后，只要修改X-Forwarded-For或Client-IP的值，即可继续尝试登录（大话西游的BBS无验证码）。
http://www.discuz.net会要求输入验证码，但绕过单个IP的登录次数限制，同理。
攻击时可以先收集管理员和版主的uid列表，再挂个密码字典。
修复方案：
解决被X-Forwarded-For和Client-IP绕过
版权声明：转载请注明来源 lijiejie@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-09-04 12:12
厂商回复：
感谢您提出的问题，我们尽快予以处理
最新状态：
暂无