设为首页收藏本站

ZMX - IT技术交流论坛 - 无限Perfect,追求梦想 - itzmx.com

 找回密码
 注册论坛

QQ登录

只需一步,快速开始

新浪微博账号登陆

只需一步,快速开始

用百度帐号登录

只需两步,快速登录

搜索
查看: 1670|回复: 1

discuz 3.4 游客手机版本首页搜索错误Discuz! Mobile System Error

[复制链接]
 成长值: 342

签到天数: 4739 天

[LV.Master]伴坛终老

发表于 2020/3/23 21:33 | 显示全部楼层 |阅读模式 |Google Chrome 80.0.3987.149|Windows 10
天涯海角搜一下: 百度 谷歌 360 搜狗 有道 雅虎 必应 即刻
Discuz! Mobile System Error
Error messages:
您当前的访问请求当中含有非法字符,已经被系统拒绝

复现,手机清理浏览器缓存,或者Chrome无痕模式把UA改成手机,首页直接点击搜索框进行搜索,不要先点击板块

然后把UA关掉,刷新一下页面,看到显示的代码是
[Line: 0022]search.php(discuz_application->init)
[Line: 0071]source/class/discuz/discuz_application.php(discuz_application->_init_misc)
[Line: 0558]source/class/discuz/discuz_application.php(discuz_application->_xss_check)
[Line: 0359]source/class/discuz/discuz_application.php(system_error)
[Line: 0023]source/function/function_core.php(discuz_error::system_error)
[Line: 0024]source/class/discuz/discuz_error.php(discuz_error::debug_backtrace)

老周部落
xss_check拦截,一般的原因是formhash变了,不过我这用您站点测没发现变了,这事情有点怪。

@老周部落 https://gitee.com/ComsenzDiscuz/DiscuzX/blob/master/upload/source/class/discuz/discuz_application.php#L354
网上搜到的教程,改成这样合理吗,看起来是把判断formhash给删除了

  1. private function _xss_check() {
  2.                 $temp = strtoupper(urldecode(urldecode($_SERVER['REQUEST_URI'])));
  3.                 if(strpos($temp, '<') !== false || strpos($temp, '"') !== false || strpos($temp, 'CONTENT-TRANSFER-ENCODING') !== false) {
  4.                         system_error('request_tainting');
  5.                 }
  6.                 return true;
  7.         }
复制代码


@小樱 其实这样不太安全,与其这里删除还不如删除这一行 https://gitee.com/ComsenzDiscuz/DiscuzX/blob/master/upload/template/default/touch/search/forum.htm#L23 可能安全性还稍微高一点

如果电脑版有问题的话 https://gitee.com/ComsenzDiscuz/DiscuzX/blob/master/upload/template/default/search/forum.htm#L5
欢迎光临IT技术交流论坛:http://bbs.itzmx.com/
回复

使用道具 举报

签到天数: 1167 天

[LV.10]以坛为家III

发表于 2020/3/24 00:03 | 显示全部楼层 |Google Chrome 80.0.3987.149|Windows 10
欢迎光临IT技术交流论坛:http://bbs.itzmx.com/
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册论坛 新浪微博账号登陆用百度帐号登录

本版积分规则

手机版|Archiver|Mail me|网站地图|IT技术交流论坛 ( 闽ICP备13013206号-7 )

GMT+8, 2024/12/25 14:34 , Processed in 0.126598 second(s), 21 queries , MemCache On.

Powered by itzmx! X3.4

© 2011- sakura

快速回复 返回顶部 返回列表