VULHUB ™

BBSGOOD是国内首创使用缓存技术的论坛，BBSGOOD的帖子和列表首页是可以生成静态HTML文件的。 在文件moprepost.asp中： if Request.ServerVariables("HTTP_X_FORWARDED_FOR")="" then ipdress=Request.ServerVariables("REMOTE_ADDR") else ipdress=Request.ServerVariables("HTTP_X_FORWARDED_FOR") end if //第351行 …… sql="insert into LxTel_Topic (BoardID,Ftbq,TitleColor,Subject,Text,PostUser,PostTime,RePostNum,RePostUser,IP,CreateHtml,FileName,LastPostTime,LastPostUser,BuyPostType,BuyNum,BuyExplanation,BuyUser,IsBest,FilePageNum,Hits,IsTop,Admin,IsDel,ZT,GG,CommTrue,BoldFace,postsh,myfiles) values "...

BBSGOOD是国内首创使用缓存技术的论坛，BBSGOOD的帖子和列表首页是可以生成静态HTML文件的。 在文件moprepost.asp中： if Request.ServerVariables("HTTP_X_FORWARDED_FOR")="" then ipdress=Request.ServerVariables("REMOTE_ADDR") else ipdress=Request.ServerVariables("HTTP_X_FORWARDED_FOR") end if //第351行 …… sql="insert into LxTel_Topic (BoardID,Ftbq,TitleColor,Subject,Text,PostUser,PostTime,RePostNum,RePostUser,IP,CreateHtml,FileName,LastPostTime,LastPostUser,BuyPostType,BuyNum,BuyExplanation,BuyUser,IsBest,FilePageNum,Hits,IsTop,Admin,IsDel,ZT,GG,CommTrue,BoldFace,postsh,myfiles) values " sql=sql+"("&BoardID&",'"&Ftbq&"','"&TitleColor&"','"&Server.HTMLEncode(titlename)&"','"&nl&"','"&UserName&"','"&PostTime&"',0,'"&UserName&"','"&ipdress&"',"&IsCreateHtml&",'"&FileName&"','"&PostTime&"','"&UserName&"',"&BuyPostType&","&BuyNum&",'"&BuyExplanation&"','"&UserName&"',0,0,0,0,0,0,0,0,0,"&BoldFace&","&shzt&",0)" //第380行 conn.execute(sql) 环境变量HTTP_X_FORWARDED_FOR本地修改并提交，程序没有对放入sql语句中的该变量做过滤导致注入漏洞的产生。 BBSGood 5.0/5.0.2 厂商补丁： BBSGood.Speed ------- 目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://www.bbsgood.com/