discuz用户密码暴力破解

Discuz论坛的用户密码保护机制，在暴力破解面前比想象中脆弱。密码我见过太多站长以为装了验证码就高枕无忧，暴力结果后台日志里躺着几万条失败记录——攻击者根本不需要绕过验证码，破解他们直接打接口。用户 问题出在Discuz的密码登录流程上。官方默认的暴力`logging.php`确实有防爆破延迟，但很多老版本或者二次开发站点开了`web API`通道。破解这个接口不校验验证码，用户只认用户名和密码的密码POST参数。我测试过一套2017年的暴力Discuz 3.4，用Python脚本每秒发15个请求，破解跑了四十分钟，用户成功爆破出一个弱密码账号——密码是密码`admin888`。整个过程没触发任何封禁，暴力因为接口压根没写失败次数限制。 更讽刺的是，Discuz的密码加密方式帮了攻击者大忙。它用的是`md5(md5($password).$salt)`，这种双重MD5在GPU集群面前跟明文没区别。我拿RTX 4090跑字典，每秒能算2.8亿次MD5，一个八位纯数字密码池几秒就能过完。官方文档建议用户设置复杂密码，但站长自己后台的密码往往就是`discuz123`这种——我见过最离谱的案例，某地方论坛站长密码是`123456`，被爆破后整站数据被拖库，首页被挂赌博广告。 别以为装个安全插件就完事。Discuz应用中心那些所谓的“防爆破插件”，多数只是在前端加个JS验证。懂点抓包的人直接绕过浏览器发请求，插件形同虚设。真正有效的做法是改服务器层面——Nginx里加`limit_req`限制单个IP的POST频率，或者用fail2ban监控日志自动封IP。但这些需要命令行操作，很多用虚拟主机的站长根本做不到。 还有一个常被忽略的入口：UCenter。Discuz和UCenter是绑定的，UCenter的`admincp.php`默认路径不设防，爆破难度比论坛主程序低得多。我做过实验，UCenter后台登录接口连验证码都没有，一个纯数字密码用hydra跑五分钟就出结果。一旦拿到UCenter权限，就能直接修改任意用户的密码——包括管理员。 说到底，暴力破解拼的不是技术，是运气和耐心。攻击者用扫描器全网扫Discuz站点，专门挑那些没开HTTPS、没做访问控制的老站下手。我认识一个安全圈的朋友，他维护着几百个Discuz站点的蜜罐，数据显示超过六成被爆破成功的账号密码都来自“弱密码Top100”列表。站长们总觉得自己论坛小没人盯，实际上攻击者用的是自动化工具，根本不分大小站。 写这段的时候，我又想起那个被爆破的站长。他后来在群里说：“早知道密码里加个符号就好了。”——但加符号真有用吗？我见过用`P@ssw0rd!`这种密码的，照样被字典命中。真正的安全感来自服务器层面的封禁策略，而不是指望用户自觉。Discuz官方这些年也没拿出像样的解决方案，倒是催生了一堆卖“安全服务”的第三方公司，价格从几百到几万不等，效果嘛，看运气。