关于LB论坛的一个BUG的探讨

关于LB论坛的一个BUG的探讨

( 作者：mikespook | 发布日期：2003-12-8 | 浏览次数：406 )

关键字：漏洞,论坛,LB

现在网上用雷傲论坛的人很多。大家普遍觉得雷傲论坛用起来比较方便，而且插件也很多。不过，老一点的玩家都知道，这个论坛的漏洞也特别多。 　　我对ＣＧＩ没有兴趣，对论坛权限更没有兴趣。我这里要说的是作为一个程序编写者应该注意的地方。 　　 关于ＢＵＧ 　　我不知道这个ＢＵＧ是否有人注意过。今天我在写程序的时候在Ｓ８Ｓ８论坛（使用雷傲论坛程序）看脚本突然想起来的。在回帖的时候如果你是登陆用户，那“在快速回复主题: ”的地方有“输入用户名和密码:”。这里明白显示着你的用户名和密码。当然了，密码是“****”。这是ＢＵＧ么？现在，你打开页面的源文件。并搜索“name="password"”。你会找到一处如“<input type=password name="password" value="123456" οnmοuseοver=this.focus() οnfοcus=this.select()>”。这是什么？这就是那个密码框，而密码就明白的显示在value里“value="123456"”。好了，我们再来看看我们如何得到别人的密码与用户名。在ＩＥ缓冲文件夹中搜索“Ｓ８Ｓ８”会出来很多名如“topic[1]”、“topic[2]”这样的文件。用记事本打开，搜索“name="membername"”找到value中的用户名，再搜索“name="password"”找到value中的密码。（其实这里不用搜两次，只不过为了说明方便。）好了，你就可以冒名顶替，肆意捣乱了。这个方法，不论你时候退出登陆。只要你登陆，那么你访问过的页面就会缓存于ＩＥ缓冲文件夹中。除非你清理缓冲文件夹，否则用户名与密码暴露无疑！有几个朋友在网吧上完了网记得清空缓冲文件夹呢？ 探讨 　　我不理解雷傲论坛在那里设置用户名和密码是何用意。我没有阅读过完整的雷傲的代码。不过我的感觉是多此一举。我阅读过很多国外ＰＨＰ论坛和ＡＳＰ论坛代码。并没有见有论坛将用户名和密码如此大方的放在页面上让别人瞻仰。 　　再比如登陆时候的验证码。验证码只是放着好看，让大家感觉安全些的东西。真要想破，用户的密码哪用那么麻烦？我这方法，你甚至连网都不用上。只要看看缓冲文件夹就搞掂了。 总结 　　其实，这个ＢＵＧ并不是只有雷傲论坛才有。很多程序都有这个东西。（特别是国产程序，说不清楚谁抄谁了。）个人以为，作为程序员还是应该弄些实际的东西。对于华而不实的玩意，玩玩就好，切不可当做宝贝。否则画蛇添足，反而出了漏子。