去评论
dz插件网

discuz x3.5第三方插件报错"您当前的访问请求当中含有非法字符，已经被系统拒绝"的解决办法

admin
2024/02/05 16:07:45
discuz x3.5绗笁鏂规彃浠舵姤閿"鎮ㄥ綋鍓嶇殑璁块棶璇锋眰褰撲腑鍚湁闈炴硶瀛楃锛屽凡缁忚绯荤粺鎷掔粷"鐨勮В鍐冲姙娉曪細
Discuz!绯荤粺鐨刜xss_check()鍑芥暟鍘熸湰鐨勬剰涔夋槸涓轰簡璁哄潧瀹夊叏锛岄槻姝SS鏀诲嚮锛屼竴鑸綉绔欎娇鐢ㄦ槸涓嶄細鍑虹幇浠涔堥棶棰樼殑锛屼絾鏄湁浜涚綉绔欒鎺ュ叆绗笁鏂规帴鍙ｏ紝褰撶涓夋柟鎺ュ彛鍚戞湰绔檖ost鏁版嵁鐨勬椂鍊欏氨浼氭姤"鎮ㄥ綋鍓嶇殑璁块棶璇锋眰褰撲腑鍚湁闈炴硶瀛楃锛屽凡缁忚绯荤粺鎷掔粷"锛屾湰鏂囦粙缁嶄竴绉嶇畝鍗曠殑淇敼鏂规硶閬垮厤姝ら敊璇
瑙ｅ喅鏂规濡備笅锛
\source\class\discuz\discuz_application.php
鏌ユ壘锛銆愮害363~395琛屻
  1. private function _xss_check() {

  3.                 static $check = array('"', '>', '<', '\'', '(', ')', 'CONTENT-TRANSFER-ENCODING');

  5.                 if(isset($_GET['formhash']) && $_GET['formhash'] !== formhash()) {
  6.                         if(defined('CURMODULE') && constant('CURMODULE') == 'logging' && isset($_GET['action']) && $_GET['action'] == 'logout') {
  7.                                 header("HTTP/1.1 302 Found");
  8.                                 header("Location: index.php");
  9.                                 exit();
  10.                         } else {
  11.                                 system_error('request_tainting');
  12.                         }
  13.                 }

  15.                 if($_SERVER['REQUEST_METHOD'] == 'GET' ) {
  16.                         $temp = $_SERVER['REQUEST_URI'];
  17.                 } elseif(empty ($_GET['formhash'])) {
  18.                         $temp = $_SERVER['REQUEST_URI'].http_build_query($_POST);
  19.                 } else {
  20.                         $temp = '';
  21.                 }

  23.                 if(!empty($temp)) {
  24.                         $temp = strtoupper(urldecode(urldecode($temp)));
  25.                         foreach ($check as $str) {
  26.                                 if(strpos($temp, $str) !== false) {
  27.                                         system_error('request_tainting');
  28.                                 }
  29.                         }
  30.                 }

  32.                 return true;
  33.         }



鏇挎崲涓猴細
  1. private function _xss_check() {
  2.     $temp = strtoupper(urldecode(urldecode($_SERVER['REQUEST_URI'])));
  3.     if (strpos($temp, '<') !== false || strpos($temp, '"') !== false || strpos($temp, 'CONTENT-TRANSFER-ENCODING') !== false) {
  4.         system_error('request_tainting');
  5.     }
  6.     return true;
  7. }


鈿犱慨鏀逛笉浼氬绯荤粺浜х敓鏄庢樉褰卞搷锛屾潵婧愮敱浣滆呮彁渚涚殑瀹樻柟鏂规锛https://www.yuque.com/zimuyun/zhaopin/rvz0p9

进入原文参与互动