DiscuzX3.0起死循环GET漏洞可对用户和服务器造成拒绝服务

汪星人

7 y0 V6 |( s+ \* c+ T
8 i# N( J1 j' M7 ]3 G  B* M这个漏洞是有条件性的触发。。
等级：低等
* X  A" G% t0 K0 d) n3 s. D- I类型：设计缺陷/逻辑错误
$ g  `: N+ D3 j  Q) s- _7 e
7 \+ l/ V# o, {; _3 ?
简要描述：
& x( Q! ~/ N4 R+ o5 l( R' u& B部分Android手机用户打开部分discuzX3.0以上版本的网站时会触发这个漏洞，比如oppo，这时候手机浏览器就在不停的刷新网站了（进入死循环），直接导致手机刷爆浏览器无响应，只能强行关闭浏览器进程。。
" N2 |; J  m  |) v而网站这时候也在遭受来自用户手机浏览器的CC攻击，而无法触发反CC攻击的防护，日志分析后发现这部分大量访问是正常访问。
, A/ N+ I1 ?1 _

简单而言，这是一起不能被防护措施认为是CC攻击的CC攻击行为。。
% b4 e  p5 _7 x- y) I+ v
! w4 v5 v5 W' a1 j
Discuz官方已经收悉此漏洞并正在修复中。。