【警告】论坛通用漏洞，注意防范

单刀

当在Discuz中回帖，插入一张很奇葩的图片时，（我会在第二页进行演示，大家点击下一页就会看到）可能就会导致用户被盗号。
当用户看到这张图片的时候，就会触发提示登陆框。
如图示：


这个地址是一个401头
HTTP/1.1 401 Unauthorized

当输入密码后，会重定向到收集数据的页面，接着，你们密码就被盗了。


近日，有人发现在登录邮箱的状态下，也可以出现这种情况。对此，360安全专家表示这是黑客利用“401钓鱼漏洞”伪造的登录框，一旦输入密码就会被盗号。据悉，这类钓鱼攻击主要针对IE内核浏览器。
经测试，
（1）chrome早期版本的确会弹（采取Chromium 10.0.648.205[2011年4月版]验证）；
（2）chrome现版本(23.0.1271.95 m)不弹（参照测试：国内双核浏览器切换到极速chrome模式时不会弹，采取360极速浏览器5.1.0.520[基于Chromium 16.0.912.75 2012年1月版]、以及猎豹浏览器内测绿色版[2012年5月版]验证）；
（3）Firefox 15.0.1弹；
（4）IE8弹（参照测试：未修补前，国内双核浏览器切换到IE兼容模式时都会弹，采取猎豹浏览器内测绿色版[2012年5月版]、以及360浏览器5.0版[2012年10月份版]验证）。
测试总结：（1）目前各国内厂商的所谓修补应该都是针对IE兼容模式下的临时参考性质补漏，因为默认采取IE兼容渲染居多；
（2）有采取chrome内核的各国内浏览器在2012年1月份同步其Chromium内核后应该就没这个问题。
测试存在的缺陷：未测试ie9和ie10对双核浏览器的影响。
因此，请不要在论坛上或邮箱中弹出的窗口随便输入帐号密码。
如果有人已经中招，建议修改密码。

konica126

不懂

小梓

求科普

秦晓芳

不了解

单刀

此漏洞已经出现一段时间了，最近比较忙，因此没顾得上发帖。

单刀

再翻。

花开的温度

外行，不懂呢！

单刀

还没有。

单刀

翻到下页进行演示。

单刀

避免各位中招。