大神進來看看這個算不算是漏洞

賣火柴小二郎 · 發(fā)表于 2025-4-13 19:38:09

/forum.php?aid=MjM5OHwwZWZlNjlkY3wxNzI2NDI3NDM4fDB8ODg0%C2%AChumb=yes&mod=attachment
怎么才能杜絕別人通過這個直接下載圖片呢而卻還不需要打開網(wǎng)站就可以下載

我知道答案回答被采納將會獲得1 貢獻已有6人回答

asdgdg · 發(fā)表于 2025-4-13 20:02:31

設置ref禁止為空（不過也可以偽造就是了，防小白，難一點的可以把這些靜態(tài)資源加參數(shù)鑒權(quán)，有效期十幾秒就過期

東至人網(wǎng) · 發(fā)表于 2025-4-13 21:02:55

me too

賣火柴小二郎 · 發(fā)表于 2025-4-13 21:13:34

東至人網(wǎng) 發(fā)表于 2025-4-13 21:02
me too

這樣是封不玩的啊

crx349 · 發(fā)表于 2025-4-13 21:32:22

設置附件過期時間哦
后臺全局上傳設置論壇附件附件有效期設置下

東至人網(wǎng) · 發(fā)表于 2025-4-14 13:56:01

我這邊附件都在oss，OSS開啟了ref禁止為空，但是他這種采集的邏輯我也不太清楚，如果利用樓主的鏈接不知道能否直接打開，這種看起來應該是有本站域名的來路，所以我也不太清楚到底是否有用。

東至人網(wǎng) · 發(fā)表于 2025-4-14 13:58:48

直接訪問圖片的話，是403，但是從網(wǎng)站某個帖子中打開圖片鏈接是可以打開的，因為有本站域名的來路。

[求助] 大神進來看看這個算不算是漏洞