设为首页收藏本站

 找回密码
 新建账号
轻松E站»轻松E站 › 有点东西 › 网络技术 › Discuz X 3.5 您当前的访问请求当中含有非法字符，已经被系统拒绝
返回列表 发新帖

Discuz X 3.5 您当前的访问请求当中含有非法字符，已经被系统拒绝

[复制链接]
php 发表于 2022/12/28 11:16 | 显示全部楼层 |阅读模式
Discuz! System Error
您当前的访问请求当中含有非法字符，已经被系统拒绝
PHP Debug
[Line: 0024]home.php(discuz_application->init)
[Line: 0072]source/class/discuz/discuz_application.php(discuz_application->_init_misc)
[Line: 0602]source/class/discuz/discuz_application.php(discuz_application->_xss_check)
[Line: 0391]source/class/discuz/discuz_application.php(system_error)
[Line: 0023]source/function/function_core.php(discuz_error::system_error)
[Line: 0024]source/class/discuz/discuz_error.php(discuz_error::debug_backtrace)
www.51-n.com 已经将此出错信息详细记录, 由此给您带来的访问不便我们深感歉意

这是 Discuz! 对非法访问网站的检测，但这段代码设计不合理，容易暴露服务器信息，做适当的修改后更安全。

Discuz! 的检测逻辑是符合以下条件即为非法请求
  • 如果 GET 参数有 formhash 字段并且和 formhash() 不同
  • REQUEST_URI 或 POST 参数包含 ", >, <, ', (, ), CONTENT-TRANSFER-ENCODING 中的任意一个值
找到 source\class\discuz\discuz_application.php 第 363 行
  1. private function _xss_check() {

  3.                 static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');

  5.                 if(isset($_GET['formhash']) && $_GET['formhash'] !== formhash()) {
  6.                         if(defined('CURMODULE') && constant('CURMODULE') == 'logging' && isset($_GET['action']) && $_GET['action'] == 'logout') {
  7.                                 header("HTTP/1.1 302 Found");
  8.                                 header("Location: index.php");
  9.                                 exit();
  10.                         } else {
  11.                                 system_error('request_tainting');
  12.                         }
  13.                 }

  15.                 if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
  16.                         $temp = $_SERVER['REQUEST_URI'];
  17.                 } elseif(empty ($_GET['formhash'])) {
  18.                         $temp = $_SERVER['REQUEST_URI'].http_build_query($_POST);
  19.                 } else {
  20.                         $temp = '';
  21.                 }

  23.                 if(!empty($temp)) {
  24.                         $temp = strtoupper(urldecode(urldecode($temp)));
  25.                         foreach ($check as $str) {
  26.                                 if(strpos($temp, $str) !== false) {
  27.                                         system_error('request_tainting');
  28.                                 }
  29.                         }
  30.                 }

  32.                 return true;
  33.         }
复制代码
修改为以下代码，当遇到非法访问时直接跳转到网站首页，而不是把错误信息暴露出来。
  1. private function _xss_check() {
  2.                 global $_G;
  3.                 static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');
  4.                 $isSecure = true;

  6.                 if(isset($_GET['formhash']) && $_GET['formhash'] !== formhash()) {
  7.                         $isSecure = false;
  8.                 }

  10.                 if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
  11.                         $temp = $_SERVER['REQUEST_URI'];
  12.                 } elseif(empty ($_GET['formhash'])) {
  13.                         $temp = $_SERVER['REQUEST_URI'].http_build_query($_POST);
  14.                 } else {
  15.                         $temp = '';
  16.                 }

  18.                 if(!empty($temp)) {
  19.                         $temp = strtoupper(urldecode(urldecode($temp)));
  20.                         foreach ($check as $str) {
  21.                                 if(strpos($temp, $str) !== false) {
  22.                                         $isSecure = false;
  23.                                         $break;
  24.                                 }
  25.                         }
  26.                 }
  27.                
  28.                 if(!$isSecure){
  29.                         header('location: ' . $_G['siteurl']);
  30.                         exit;
  31.                 }

  33.                 return true;
  34.         }
复制代码
Disicuz, PHP

点评

专家
好  发表于 2022/12/28 19:30

相关帖子
回复

举报

返回列表 发新帖

手机版|轻松E站

GMT+8, 2024/12/21 21:10

快速回复 返回顶部 返回列表