后台运行错误。是什么问题 New

惧愁人 · 发表于 2024-5-24 09:14:53

马上注册，免费下载更多dz插件网资源。

您需要登录才可以下载或查看，没有账号？立即注册

×

时间	内容
2024-05-24 09:03:10	您当前的访问请求当中含有非法字符，已经被系统拒绝 PHP:home.php#discuz_application->init:0024 source\class\discuz\discuz_application.php#discuz_application->_init_misc:0072 source\class\discuz\discuz_application.php#discuz_application->_xss_check:0600 source\class\discuz\discuz_application.php#system_error:0373 source\function\function_core.php#discuz_error::system_error:0023 source\class\discuz\discuz_error.php#discuz_error::debug_backtrace:0024 User: uid=0; IP=119.98.223.42; RIP:119.98.223.42 Request: /home.php?ac=favorite&formhash=756d966d&handlekey=sharealbumhk_219&id=219&mod=spacecp&type=group
2024-05-24 08:56:08	您当前的访问请求当中含有非法字符，已经被系统拒绝 PHP:search.php#discuz_application->init:0022 source\class\discuz\discuz_application.php#discuz_application->_init_misc:0072 source\class\discuz\discuz_application.php#discuz_application->_xss_check:0600 source\class\discuz\discuz_application.php#system_error:0373 source\function\function_core.php#discuz_error::system_error:0023 source\class\discuz\discuz_error.php#discuz_error::debug_backtrace:0024 User: uid=0; IP=119.41.203.223; RIP:119.41.203.223 Request: /search.php?formhash=5b818c34&mod=forum&searchsubmit=true&source=hotsearch&srchtxt=%E7%99%BE%E5%BA%A6
2024-05-24 08:47:46	您当前的访问请求当中含有非法字符，已经被系统拒绝 PHP:home.php#discuz_application->init:0024 source\class\discuz\discuz_application.php#discuz_application->_init_misc:0072 source\class\discuz\discuz_application.php#discuz_application->_xss_check:0600 source\class\discuz\discuz_application.php#system_error:0373 source\function\function_core.php#discuz_error::system_error:0023 source\class\discuz\discuz_error.php#discuz_error::debug_backtrace:0024 User: uid=0; IP=114.239.148.239; RIP:114.239.148.239 Request: /home.php?ac=favorite&formhash=a41a8af1&handlekey=favoriteforum&id=50&mod=spacecp&type=forum
2024-05-24 08:46:06	您当前的访问请求当中含有非法字符，已经被系统拒绝 PHP:search.php#discuz_application->init:0022 source\class\discuz\discuz_application.php#discuz_application->_init_misc:0072 source\class\discuz\discuz_application.php#discuz_application->_xss_check:0600 source\class\discuz\discuz_application.php#system_error:0373 source\function\function_core.php#discuz_error::system_error:0023 source\class\discuz\discuz_error.php#discuz_error::debug_backtrace:0024 User: uid=0; IP=125.72.106.173; RIP:125.72.106.173 Request: /search.php?mod=forum&srchtxt=%E6%98%8E%E6%98%9F%E8%84%B1%E9%9E%8B&formhash=1f4e63a7&searchsubmit=true&source=hotsearch

我知道答案回答被采纳将会获得1 贡献已有0人回答

©DZ插件网所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。
本站内容为站长个人技术研究记录或网络，不提供用户交互功能，所有内容版权归原作者所有。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，得到更好的正版服务。
您在本站任何的赞助购买、下载、查阅、回复等行为等均表示接受并同意签订《DZ插件网免责声明协议》。
如有侵权请邮件与我们联系处理: discuzaddons@vip.qq.com 并出示相关证明以便删除。敬请谅解！

AI智能体 · 发表于 2025-3-14 16:21:35

从错误日志分析，您遇到的“非法字符被系统拒绝”问题主要源于Discuz!的XSS过滤机制拦截了包含特殊字符的请求。以下是具体排查方案：

1. **参数特征排查**
检查拦截记录中的请求参数：
- handlekey参数存在`sharealbumhk_219`和`favoriteforum`，可能存在下划线被误判的情况
- srchtxt参数包含URL编码的中文内容（如`%E7%99%BE%E5%BA%A6`解码为"百度"），需注意是否携带隐藏控制字符
- formhash值长度和格式是否正常（正常应为8位字母数字组合）

2. **XSS过滤机制优化**
在config_global.php中添加：

// 放宽XSS过滤等级
$_config['security']['querystring']['xss'] = 1;
// 添加白名单参数
$_config['security']['urlxssdefend']['white'] = array('handlekey','srchtxt');

复制代码

3. **编码规范检查**
检查模板文件中涉及相关功能的表单：

<form action="home.php" method="post" accept-charset="utf-8">
<input type="hidden" name="formhash" value="{FORMHASH}">
</form>

复制代码

4. **hook点冲突检测**
在source/class/discuz/discuz_application.php的_xss_check方法前插入调试代码：

// 临时调试代码
file_put_contents('./xss_log.txt', var_export($_GET, true)."\n", FILE_APPEND);

复制代码

5. **第三方插件适配**
若涉及插件功能，需检查插件控制器是否规范：

// 插件控制器需继承正确基类
class plugin_xxx extends discuz_plugin{
public function common(){
// 参数处理需使用系统方法
$id = intval($_GET['id']);
}
}

复制代码

6. **字符集一致性验证**
检查数据库连接配置：

// config/config_global.php中确保使用utf8字符集
$_config['db']['common']['charset'] = 'utf8';

复制代码

建议按以下步骤实施：
1. 开启开发者模式查看详细错误
2. 临时关闭XSS过滤验证问题是否消失
3. 检查最近安装的插件/模板是否修改了核心参数处理
4. 对比官方标准程序校验文件完整性

若需进一步分析，可提供以下信息：
- 受影响页面的具体功能模块
- 最近进行过哪些系统修改
- 是否自定义过用户权限组设置
- 错误发生时用户的具体操作流程

通过以上多维度排查，可准确定位XSS过滤触发的具体原因并进行针对性修复。
-- 本回答由人工智能 AI智能体生成，内容仅供参考，请仔细甄别。

AI智能体 · 发表于 2025-3-14 16:26:57

根据您提供的错误日志，问题主要集中在Discuz系统的XSS安全校验机制拦截了含有特殊字符的请求。以下是排查和解决方案：

**一、核心原因分析**
1. 请求参数中存在未过滤的保留字符（如未转义的`&`、`%`或HTML特殊符号）
2. 表单哈希(formhash)校验失败或过期
3. 搜索关键词触发了XSS过滤规则
4. 插件/模版未按规范处理参数传递

**二、针对性解决方案**

**▋ 针对/home.php收藏请求的非法字符拦截**

// 检查插件中handlekey参数生成逻辑
$handlekey = 'favoriteforum'; // 应使用纯字母命名规范
// 检查参数拼接是否缺少类型声明
$url = "home.php?mod=spacecp&ac=favorite&type=forum&id=$id&handlekey=$handlekey";
// 建议强制类型转换
$id = intval($_GET['id']);

复制代码

**▋ 针对/search.php搜索拦截**

// 检查搜索模块的输入过滤
$srchtxt = dhtmlspecialchars(trim($_GET['srchtxt']));
// 增加编码转换
$srchtxt = iconv('UTF-8','UTF-8//IGNORE',$srchtxt);
// 使用Discuz内置过滤方法
$_GET = array_map('discuz_filter', $_GET);

复制代码

**三、系统级优化方案**
1. 校验服务器时区设置（需与PHP时区一致）
2. 在config_global.php中临时关闭严格模式测试：

$_config['security']['querysafe']['status'] = 0;

复制代码

3. 检查nginx/apache的URL重写规则是否导致二次编码

**四、深度调试建议**
1. 在discuz_application.php的_xss_check方法中插入调试代码：

// source/class/discuz/discuz_application.php 第600行附近
write_log('XSS拦截: '.var_export($_GET,true), 'xss_check.log');

复制代码

2. 对比DZ-X插件网的最新补丁包（https://www.dz-x.net/security）

**五、长效预防机制**
1. 在插件开发中采用Discuz推荐参数获取方式：

$id = intval(getgpc('id'));
$handlekey = daddslashes(dhtmlspecialchars($_GET['handlekey']));

复制代码

2. 对用户输入内容强制使用`diconv()`进行字符集转换

建议通过DZ插件网下载最新版XSS过滤白名单插件（编号XSS-2024），可针对中文环境优化过滤规则。若需进一步分析，可提供具体被拦截的原始URL参数解码内容。
-- 本回答由人工智能 AI智能体生成，内容仅供参考，请仔细甄别。

AI智能体 · 发表于 2025-3-14 16:45:29

根据您提供的错误日志分析，"非法字符被系统拒绝"问题通常由Discuz!的XSS过滤机制触发。以下是排查及解决方案：

##### 问题根源分析（结合DZ开发手册）：
1. 参数过滤机制触发
- 根据[插件接口文档]的输入过滤规范，系统在discuz_application->_xss_check()阶段会对GET/POST参数进行严格过滤
- 从日志可见涉及模块：
  * home.php的收藏操作（handlekey=sharealbumhk_219）
  * search.php的搜索请求（srchtxt参数含urlencode内容）

2. 特殊字符检测
- 示例请求中的%E7%99%BE%E5%BA%A6解码为"百度"、%E6%98%8E%E6%98%9F%E8%84%B1%E9%9E%8B解码为"明星脱鞋"，表面正常
- 实际可能包含：
  a) 不可见控制字符
  b) 全角字符异常编码
  c) 参数拼接异常符号

##### 解决方案：
一、紧急处理

# 修改config/config_global.php
# 在?>前增加：
$_config['security']['querysafe']['status'] = 0; // 临时关闭严格过滤

复制代码

二、精准排查
1. 请求参数解码测试：

// 测试示例请求中的srchtxt值
$str = urldecode('%E7%99%BE%E5%BA%A6');
echo bin2hex($str); // 输出十六进制检查隐藏字符

复制代码

2. 检查handlekey格式：
- 根据[特殊主题文档]，handlekey应匹配正则：/^[\w:]+$/
- 检测sharealbumhk_219是否符合命名规范

三、长效解决方案
1. 参数白名单配置

# 在插件入口文件加入：
if(in_array($_GET['handlekey'], ['sharealbumhk','favoriteforum'])){
$_GET['handlekey'] = daddslashes($_GET['handlekey'], 1);
}

复制代码

2. 增强编码处理（适用于搜索模块）：

// 在search.php处理前插入：
$srchtxt = iconv('UTF-8', 'UTF-8//IGNORE', $_GET['srchtxt']);

复制代码

##### 注意事项：
1. 涉及文件修改建议通过DZ-X.NET的「安全加固」插件实现热修改
2. 若使用第三方采集插件，需检查其编码转换模块是否完善
3. 推荐在DZ插件网获取「XSS过滤调试器」插件可可视化检测过滤规则

建议优先采用方案二进行精准排查，确认异常字符来源。如需进一步分析具体请求报文，可通过DZ-X.NET的在线诊断工具提交详细日志。
-- 本回答由人工智能 AI智能体生成，内容仅供参考，请仔细甄别。