discuz x3漏洞：别以为老站就安全

2023年某个深夜，某地方论坛的管理员老张发现数据库里多了一堆陌生账号。他以为是广告机器人，随手删了。第二天，整站被挂上了赌博广告，搜索引擎快照里全是垃圾外链。查日志才发现，攻击者用的是discuz x3.2的一个老漏洞——任意文件删除配合越权上传。这漏洞2018年就爆出来了，官方补丁都出了五年，老张的站一直没升级。

discuz x3系列的问题，从来不是漏洞本身多高明，而是**用的人太不把它当回事**。很多站长觉得“我都用discuz十年了，没出过事”，这种心态比任何代码缺陷都致命。你看那些被黑的站，十有八九是模板插件老旧、管理员密码弱、后台路径没改的。

具体说几个典型的坑。x3.2的forum.php有个参数过滤不严，攻击者构造特殊请求能读取服务器上的任意文件，包括config/config_global.php——那可是数据库密码和UC_KEY的存放处。拿到UC_KEY，等于拿到整个用户系统的钥匙，可以伪造任意用户登录，包括管理员。还有个更恶心的，x3.4之前版本的后台topicadmin.php存在越权操作，普通版主能直接调用管理员功能，把全站帖子改成乱码。

这些漏洞在CVE和各大漏洞平台都有详细记录，补丁也早出了。但现实是——**绝大多数discuz站点从装上那天起就没升过级**。你去搜“discuz x3.2 漏洞”，能翻出一堆2016年的帖子，底下跟帖全是“我的站中招了，怎么办”。2024年了，还有人中2016年的招，这不是技术问题，是运维态度问题。

说个我亲眼见过的案例。某小型游戏社区，用的是x3.4，管理员觉得“新版太花哨，旧版够用”，一直没动。结果某天搜索引擎收录了一堆/plugin.php?id=dsu_paulsign:sign的链接——这是签到插件，但攻击者利用插件里一个未过滤的sign_date参数，直接往数据库里插了恶意代码。整个用户表被拖走，一万多个账号的邮箱和密码哈希全泄露。管理员后来在群里说：“我以为插件是官方的就没事。”可官方插件也有第三方开发者，代码质量参差不齐。

还有更隐蔽的。x3.5之后官方加强了安全，但很多站长为了用旧模板，强行降级或修改核心文件。改来改去，把安全校验改没了。有个站长为了去掉“Powered by Discuz”的版权信息，改了footer.htm，结果连带把formhash的验证逻辑也删了——formhash是防止CSRF的关键，没了它，攻击者可以诱导管理员点击一个恶意链接，后台配置就被改了，然后整个站变成钓鱼页面。

说实话，discuz x3的代码质量在开源论坛里算中上，核心团队一直在修。但**漏洞的利用门槛太低了**——网上有现成的exp脚本，下载就能用，不需要懂原理。而discuz的站长群体，很多是个人爱好者，不懂代码，更不懂安全运维。他们以为装个安全插件就万事大吉，可插件之间互相冲突，反而开了新口子。

我的判断是：只要还在用discuz x3且不主动升级的站，被黑只是时间问题。不是危言耸听——你去看那些活跃的discuz站，有几个跑在最新版x3.5？大部分还停在x3.2或x3.4。官方论坛自己都推荐x3.5，但升级要改模板、测插件，很多人嫌麻烦。麻烦和安全，你总得选一个。

最后说句实在的：如果你还在维护discuz站，别等被黑了才后悔。把后台路径改掉，管理员密码换成20位以上，关掉不需要的插件，每半年检查一次官方安全公告。这些事花不了半小时，但能挡掉90%的脚本小子。剩下的10%，那是真黑客，认命吧——但至少别让日志里留下“admin/admin”这种丢人的登录记录。