非法IP尝试爆破密码，怎么阻止这些非正常IP？

stonys

如图：


这些IP都不合法的，系统怎么没方法阻止呢？

DISCUZ登陆限制IP绕过 https://www.jianshu.com/p/8edca45ea4c5 伪造ip撞库登录 有什么好办法禁止吗 https://gitee.com/ComsenzDiscuz/DiscuzX/issues/IFP4G DZ论坛爆破工具 V1.2.1 免费正式版 https://www.jb51.net/softs/611268.html Discuz论坛自动爆破工具原理分析 https://www.freebuf.com/articles/web/68002.html

1 贡献

最佳答案

source/class/discuz/discuz_application.php中有个获取IP的函数, 执行修改去掉clent-ip和x-forwarded-for设置ip这句,只以addr作为用户真实IP

如果你加了CDN或负载均衡的话, 要自己另外写代码, 只以x-forwarded-for倒数第1个作为用户真实IP(目前DZ原始是以第1个作为真实IP来判断的,肯定别人是可以随便伪造, 与IP是否合法无关, 因为别人也可以随便设置成1.1.1.1,2.2.2.2这种正常IP的,只是你没发现罢了)

• jiangchuankyo
• 发表于2019-7-28 11:39:37
• 详细答案 >

stonys

DZ配置文件里已经加了：

1. $_config['security']['onlyremoteaddr']                = 1;

复制代码

还是不行。

jiangchuankyo

source/class/discuz/discuz_application.php中有个获取IP的函数, 执行修改去掉clent-ip和x-forwarded-for设置ip这句,只以addr作为用户真实IP

如果你加了CDN或负载均衡的话, 要自己另外写代码, 只以x-forwarded-for倒数第1个作为用户真实IP(目前DZ原始是以第1个作为真实IP来判断的,肯定别人是可以随便伪造, 与IP是否合法无关, 因为别人也可以随便设置成1.1.1.1,2.2.2.2这种正常IP的,只是你没发现罢了)

allthebest

后台  关闭  UID 登录

通知用户强化密码

三个月沒上线  后台设定锁定用户

即可

stonys

没有开通uid登录。

stonys

DISCUZ登陆限制IP绕过
https://www.jianshu.com/p/8edca45ea4c5
伪造ip撞库登录 有什么好办法禁止吗
https://gitee.com/ComsenzDiscuz/DiscuzX/issues/IFP4G
DZ论坛爆破工具 V1.2.1 免费正式版
https://www.jb51.net/softs/611268.html
Discuz论坛自动爆破工具原理分析
https://www.freebuf.com/articles/web/68002.html

看来是历史问题了，好像还没有好的解决方案。

allthebest

别忘记 忘记密码 测试 同样后台有记录

简单 密码 如 111111 等才有可能与非法IP有关

但不会单独测试一个用户名

你的图片见的 只是会员忘记密码尝试而已

与非法IP尝试爆破密码无关