首页   注册   登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX  ›  信息安全

Discuz 论坛能不能这样伪造 cookies?

  •  
  •   siknet · 2017-01-24 02:24:39 +08:00 · 2797 次点击
    这是一个创建于 1049 天前的主题,其中的信息可能已经有所发展或是发生改变。

    知道某个论坛 A 的 cookiepre 、 cookiedomain 和 cookiepath ,是不是可以搭建个本地环境,用一样的参数,然后根据论坛 A 的管理员 ID ,就可以对应的在本地伪造出一个 cookies 出来,然后放在论坛 A 上正常使用?

    论坛程序应该是 discuz ,我大概脑补出来的过程,好像是可以这么操作的,求程序员解答。。。大 D 的人来解答更好

    16 回复  |  直到 2017-01-25 11:25:42 +08:00
        1
    lhbc   2017-01-24 02:29:27 +08:00
    Cookies Manager+
    用插件直接改 cookie 就可以了

    另外,这个不清楚管理员账号的 cookie 是否和 UA, IP 等信息绑定,自己看下代码或者实验下吧。
        2
    shiji   2017-01-24 02:30:07 +08:00   ♥ 2
    看得我目瞪口呆,不知道如何开口。。也不知道从哪说起。。。。
        3
    changwei   2017-01-24 03:57:10 +08:00 via Android
    cookie 生成算法的参数不仅仅是管理员 id 和域名路径,因此此方法无效。你当 dz 的作者都是白痴嘛
        4
    Hyduan   2017-01-24 04:05:02 +08:00 via Android
    sessionid 呢😌
        5
    shinwood   2017-01-24 07:31:59 +08:00 via iPhone
    楼主看看 DZ 登陆里面, auth 这个 cookie 的算法就明白伪造 cookie 的想法多么不靠谱了。
        6
    est   2017-01-24 08:36:42 +08:00
    说起信息安全国内怎么 90%的话题都是 Discuz! 。。。。
        7
    justfindu   2017-01-24 08:40:49 +08:00
    要是有这么明显的漏洞的话 DZ 居然还能存在这么长时间 也是很厉害的咯
        8
    jugelizi   2017-01-24 11:58:02 +08:00
    对哦
    我要是有 zfb 的源代码
    我要是有 tx 的源代码

    既然你会本地搭环境就去试试呀
        9
    nfroot   2017-01-24 12:07:07 +08:00
    @jugelizi *nix 的源代码才是极好的
        10
    misaka19000   2017-01-24 12:28:59 +08:00 via Android
    sessionid 的生成算法应该是随机且唯一的吧
        11
    RIcter   2017-01-24 13:47:45 +08:00 via iPhone
    @est 那说明你没找对圈…
        12
    est   2017-01-24 14:06:08 +08:00
    @RIcter 剩下 10% 里有 9 层都在脱壳。。。
        13
    RIcter   2017-01-24 14:06:27 +08:00 via iPhone
    @est 那你果然没找对圈…
        14
    est   2017-01-24 14:17:02 +08:00
    @RIcter 是的呀。本来就不是圈内人。
        15
    est   2017-01-24 14:21:05 +08:00
    @RIcter 那我再猜一个,什么 APT ,事态感知?

    其实这个更无聊。 Fireeye 都快不行了。主要是骗 zf 和大企业为主。其实没啥卵用。
        16
    kookxiang   2017-01-25 11:25:42 +08:00 via Android
    参数里有 cookie 加密密钥,你拿到再说
    关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   1553 人在线   最高记录 5043   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.3 · 25ms · UTC 00:05 · PVG 08:05 · LAX 16:05 · JFK 19:05
    ♥ Do have faith in what you're doing.