DiscuzX3.0起死循环GET漏洞可对用户和服务器造成拒绝服务

汪星人

' h8 j" O0 E+ G
& f3 z9 P, _/ g4 W% m这个漏洞是有条件性的触发。。
等级：低等
- x( O' i, e. _# r: X/ L& {% p类型：设计缺陷/逻辑错误


简要描述：
部分Android手机用户打开部分discuzX3.0以上版本的网站时会触发这个漏洞，比如oppo，这时候手机浏览器就在不停的刷新网站了（进入死循环），直接导致手机刷爆浏览器无响应，只能强行关闭浏览器进程。。
而网站这时候也在遭受来自用户手机浏览器的CC攻击，而无法触发反CC攻击的防护，日志分析后发现这部分大量访问是正常访问。
2 w! f$ i4 s8 N- E' M# R' X( Z
6 z8 H+ V; I2 d* e) B
. H( U& v0 @& U6 J% l* A* M简单而言，这是一起不能被防护措施认为是CC攻击的CC攻击行为。。
2 N6 \1 q2 M) |* k) {, k

; e% U! |3 p: n2 r9 [Discuz官方已经收悉此漏洞并正在修复中。。
9 q* a6 X/ J5 e' d0 C0 b4 m