我也说说发卡的事吧

logic90 · 发表于 2019-10-18 22:56:55

之前用了某mjj的发卡，一直很好用。然后某一次接了个小活，正好需要用户系统和后台。于是就直接用这个发卡的源码魔改了一套系统出来。。。再后来，做测试的时候，发现代码有bug

bug很简单，利用成功的话，效果是不需要密码就可以用管理员的身份进后台。。。利用的条件是，知道后台登陆地址就可以

其实，从代码逻辑上看，我觉得应该不是作者故意的。只是个bug而已。

比较重要的业务，最好要用成熟的商业源码，或者要自己读一读比较关键的部分，有时候做一些非常简单的测试就可以发现漏洞

tufu001 · 发表于 2019-10-18 23:01:44

如果是ZFAKA
它的文档已经做过安全说明了
包括改后台

robot · 发表于 2019-10-18 22:58:41

具体是哪个发卡你倒是说出来让mjj放心呀

heian9119 · 发表于 2019-10-18 22:58:51

看来还是得改改后台地址
……

reidme · 发表于 2019-10-18 22:59:11

嗯，说的在理

蜡笔小星星 · 发表于 2019-10-18 22:59:37

提示: 作者被禁止或删除内容自动屏蔽

logic90 · 发表于 2019-10-18 23:00:12

robot 发表于 2019-10-18 22:58
具体是哪个发卡你倒是说出来让mjj放心呀

说出来不是害了更多的人？我发现的那个漏洞，改管理地址可破，只要让攻击者猜不到管理地址就行

羽檬 · 发表于 2019-10-18 23:05:00

heian9119 发表于 2019-10-18 22:58
看来还是得改改后台地址
……

为啥我改了那三个地方后访问404呀！

孤单月色 · 发表于 2019-10-18 23:30:33

提示: 作者被禁止或删除内容自动屏蔽

heian9119 · 发表于 2019-10-18 23:44:59

本帖最后由 heian9119 于 2019-10-18 23:51 编辑

羽檬发表于 2019-10-18 23:05
为啥我改了那三个地方后访问404呀！

这货改地址很麻烦，不仅首字母要求大写，改了地址还得改两个配置文件。每次升级也得再改，按照教程修改完就没问题了，我这ok的

https://github.com/zlkbdotnet/zfaka/wiki/%E5%90%8E%E5%8F%B0%E5%9C%B0%E5%9D%80%E5%AE%89%E5%85%A8%E5%A2%9E%E5%BC%BA%E5%A4%84%E7%90%86

复制代码

		自动登录	找回密码
密码			注册

蜡笔小星星蜡笔小星星当前离线积分 14013	发表于 2019-10-18 22:59:37 来自手机 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
蜡笔小星星蜡笔小星星当前离线积分 14013
	回复举报

孤单月色孤单月色当前离线积分 14347	发表于 2019-10-18 23:30:33 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
孤单月色孤单月色当前离线积分 14347
	回复支持反对举报