9-09 13,396
出现原因
周末时段,某位vcb-s网站组新手(嗯,就是我了)在调试nginx时不慎在编辑conf时添加了下面一行代码,导致在 北京时间9月8日下午3时附近开始,北京时间9月9日8时30分前,访问过主站(https://www.vcb-s.com)的浏览器都会记录一条错误的安全设置指示:vcb-s下所有域名均强制启用https,不允许例外。
add_header Strict-Transport-Security "max-age=15768000; includeSubDomains" always;
但由于vcb-s论坛的https升级尚在筹备之中,故导致了用户浏览器被强制跳转到https协议访问通道但论坛本身并未做相关处理而无法访问。
暂时解决办法
目前主流浏览器分两类,故解决办法也分两类
一. Chrome 系(包括qq浏览器,百度浏览器,360浏览器等)
1. 退出关闭当前浏览器
2. 打开链接 chrome://net-internals/#hsts
3. 在 Query HSTS/PKP domain 处键入 vcb-s.com
4. 若查询结果显示为 found,则进行下一步;如显示 Not found 则可以直接访问
5. 在 Delete domain security policies 处键入 vcb-s.com,敲击回车
6. 重启浏览器,你理应可以正常访问vcb-s论坛
二. Firefox
1. 退出关闭火狐浏览器
2. 打开链接 about:support
3. 找到 Profile Folder,点击 打开文件夹
4. 退出火狐浏览器
5. 找到 SiteSecurityServiceState.txt 文件
6. 右键编辑,或使用你熟悉的文本编辑器打开,找到 带 vcb-s.com 行 ,删除
7. 保存,关闭文件夹并打开火狐浏览器,你理应可以正常访问vcb-s论坛
部分firefox用户反映手动清空firefox所有历史记录包括cookies等 也是可以的,如果对历史记录并不在意的话清空历史数据也可以达到目的。
注意,这条措施对chrome无效。
三。edge
网上并未找到edge清理hsts的办法。
据尝试,所有浏览器在无痕(隐私)模式下均可正常访问,如遇到上诉措施无法帮助到您的情况下,可尝试使用无痕(隐私)模式访问vcb-s论坛。
现在是否还会添加该条错误的安全指示?
已经移除该设定,用户可正常访问。
2019-09-10补充:
如遇到按照以上设置后仍出现“访问主站后论坛就进不去了”的情况,可以尝试以下步骤
一。chrome
- 右键菜单中选择 开发者工具/查看元素/检查,以打开浏览器的开发者工具
- 切换至 Application ,点击 Clear site data
- 退出、重启浏览器,正常进行前文所述的hsts标记清理步骤
二。Firefox
参照官方文档:怎么清除缓存
不好意思,現在使用Chrome訪問 bbs.vcb-s.com ,想登入時都會卡在需要驗證我不是機器人的畫面,即使通過驗證,登入依舊會失敗,請問該如何解決呢?(試過上述文章的方法了)
这个跟上文应该没有关系,论坛那边的网络我不太了解。
论坛以前没改头像的用户现在发不了贴,无法回复,私信,而且现在改了仍然提示“抱歉,您需要设置自己的头像后才能进行本操作”,清cookie重新登录也不行,已经好几天了仍然不行,留言板那里也有人反映,希望解决一下
下面是截图:
https://s1.ax1x.com/2020/03/27/G9XXqg.png
https://s1.ax1x.com/2020/03/27/G9Xxaj.png
感谢,已经修好了
现在论坛 域名被劫持了吗,我点击变成其他网站
现在又好了, ❓
不行
具体表现是?
是指搞完之后论坛还是跳转到https协议导致访问不到
还是操作完之后一时能访问但过一段时间又不行了
卡巴斯基报毒,能不能解决一下。。。
卸载卡巴斯基
卡巴斯基>左下角設定>進階>威脅和排除項目設定>管理排除項目>新增>在物件那欄填上「HEUR:Trojan.Script.Generic」>新增
先暫時規避一下吧^^
关于那个事情我在论坛那边已有回复。这边简单再复述一下就是:
HTML5时代网页没什么东西可以让卡巴斯基查杀的。
js可以做的东西少之又少,只有flash时代才会有各种奇葩的病毒因为flash是独立的体系。请放心浏览。
更新:
有热心网友已经提出了被卡巴斯基黑名单的代码,该代码已经移除。可以看一下现在还有没有报毒。
不是有js挖矿脚本吗,还有Intel爆出的一系列漏洞有可能被用来虚拟机逃逸,而js大概是最为普及的虚拟机应用了吧。
挖矿脚本太明显了,看一下cpu使用率就知道了
据计算,挖矿脚本收益不如放广告,除非你碰到的是一堆僵尸访问量。
沙箱逃逸漏洞太难用了,而且修得也快,等公布 PoC 已经修完了,何况对于此类攻击,白嫖党本来就已经是低价值目标了,除非是日本官员依法入侵设备,大概对上传者影响较大(版权因素+日本官员入侵家用设备合法)?
目前 Web 大环境的主要攻击,大概是网络钓鱼和挖矿脚本,以及一些还没来得及修复的底层沙箱逃逸漏洞。但相应的:
1、UGC 太普遍,网络钓鱼无法避免,至少上 NLP 才行,至于仿造,常见的被仿网站可以专门做判断,但如果是小众如 reimu.net 被仿,大概只能去广域爬虫校验了(意思是,用搜索引擎手气不错一下页面内的长段文字),要是 exhentai 这种被仿,甚至没什么办法确认。
2、挖矿脚本要么太明显,要么没什么收益,或者两者兼有,据计算,相同的浏览量挖矿脚本收益甚至不如放广告,屏蔽广告的恐怕也不是那么容易被挖矿脚本的人。
3、目前的沙箱逃逸漏洞太难使用了,Spectre、Meltdown、Rowhammer,一个比一个难用,投入太大,还是那句,不如放广告。
至于反浏览器指纹(fingerprinting)检测,我觉得是没有的,太难做,还要伪造操作习惯。
成功解决 吃瓜看祭天组员 😎
已解决~
访问错误的长期解决办法:论坛增加https支持
手机chrome进不去了。。按照设置也没用
你或许需要对浏览器做一次缓存清理。在右上角点点点按钮的菜单里边有一项隐私设置,进去后选择清理缓存,再按chrome解决办法走一次
祭天 😛
已解決!(按:瀏覽器為chrome。)
我是chrome DEV版,一切正常,2边都可以登录。
已解决,chrome
话说都登陆不了,还怎么留言 😯
主站可以登录,不影响
我用的浏览器是Google Chrome,按这篇文章的方法做了之后,能打开字幕论坛,但是关了浏览器之后再过一段时间后又打不开字幕论坛了,貌似是又添加了那条错误的安全设置指示,不知道是不是我自己的问题emmm
可以考虑参考文章尾部的的缓存清理说明。
如情况还是存在可以记录以下访问过主站的那些链接,在回复里贴一下,我手工排查是否还有漏网之鱼。
感谢 按文章尾部的的缓存清理说明操作之后已解决问题
一看到老哥你这ID我就想到了Lost River,都怪那些沙雕网友
如还有访问问题可以留言本文章,这几天我都会尽量看评论。
请教一下,我清理了 Safari 的缓存后可以打开论坛,但一旦登录主站,论坛立刻无法打开,该如何解决呢
目前管理员面板还在抢救当中,除了管理员面板外的请求应该都是干净的了。
管理端面板已经抢救完成,如有出现那应该是本地缓存的原因了。参考文章尾部
辛苦啦,已恢复正常~
办法很有效 已解决 我是Chrome浏览器