用户组权限查询管理插件
geruixi 1天前

插件封面

fxz_User_Group

版本 1.0.0
风信子
2026-06-07
2026-06-07
93660778
详细说明
最近网站被黑,估计是有管理员账号密码被爆破了,改了站点介绍,插入了js代码,导致手机端访问网站跳转到黄站。于是,此插件诞生,可以查看用户组下面的用户数据。防止被恶意添加管理员。

白嫖直通车https://ixiuno.com/thread-690.htm

上传的附件:
最新回复 (6)
全部楼主
  • adnim
    14小时前 2
    0
    应该不是被爆破,而是程序有漏洞,隔壁很多站都被黑了,和你站点情况一样,有说是本地 token 被拿走了
  • geruixi 楼主
    12小时前 3
    1
    adnim 应该不是被爆破,而是程序有漏洞,隔壁很多站都被黑了,和你站点情况一样,有说是本地 token 被拿走了
    八成是弱口令,或者未删除安装数据库脚本文件夹,被重新安装修改。我的为什么被判定弱口令管理员的问题呢?我查了弱口令最后登录的时间IP,都是相同的,我估计有几年没碰过弱口令的账号了。挂马的人应该是使用软件批量扫,批量弱口令爆破登录挂马。
  • adnim
    11小时前 4
    0
    这个是隔壁xiuno论坛
    [15:31:46]:他首先在前台试图发帖尝试对文章进行强制置顶跨权操作。
    [15:31:50]:他接着多次利用修改头像的接口漏洞跑测试),这是圈内常用的测试能否任意上传脚本木马(如传 PHP 图片马)的手法。
    [15:32:15 ~ 15:32:32]:他在前台进行了两次疯狂的重新登录,很可能是利用某种盗取来的管理员 Token 去覆盖欺骗当前浏览器的本地缓存。
    [15:33:01 关键节点]:他带着欺骗获取到的超级权限直接强登了后台登录口,这意味着他正式拿到了后台大门的钥匙。
    [15:33:44]:进入后台后,直奔大白自定义插件设置,成功写入了让你首页恶性跳转挂马的 Base64 乱码脚本。
    [15:33:54]:他挂完木马后,在后台又通过版主越权通道试图置顶某个没被找到的遗留帖子。
  • geruixi 楼主
    8小时前 5
    0
    各种问题都有,xiuno上传权限也有问题,特别是一些插件的,以前的朋友圈插件  可以直接上传php文件
    ob_feedback  没有过滤 XSS 

    私信插件 可以直接混进XSS

    还有很多问题,忘了
  • 段先生 站长
    5小时前 6
    0
    xiuno现在有这么多问题了吗?
  • geruixi 楼主
    5小时前 7
    0
    段先生 xiuno现在有这么多问题了吗?
    很多都是插件导致的
返回