楼主最后一句很多人都大义凛然的说过，我又要再重复一次，KFC除了广告垃圾政治贴一般都不会删，现在删ID也只是改成“等待验证的用户”，以保留所有记录。我的观点是发出去的帖子泼出去的水，不是广告，没有危害论坛安全的不和谐关键字，能保留的都尽量保留。
这事本来一直要写个公告，后来有各种事忙，论坛也有更要紧的事要处理，就先拖着了。楼主既然提出来了，我就来公布一些所谓的真相。没有时间整理说明，就直接贴短消息和聊天记录了。
看了以下真相后，我只问各位一个自己的想法：如此利用推广功能快速获取一万多积分，是否合法？积分是否应该保留？大家是不是也都可以用聪明才智去研究这种有创意的方法去快速加个几万积分？
===============================================
re:阁下是否还愿意继续待在KeyFC？
发送人:水羊 2010/2/3 14:02:45
陈大我错了……
但是我现在确实没法改。。真的。。
之前在一次无聊的安全检测中发现的KeyFC有漏洞。因为我比较喜欢恶作剧，就研究了一下，然后帮忙把漏洞补上了。
但是现在我就没法再改了，
麻烦您帮忙改回去吧。。
我是真的真的忏悔忏悔忏悔……
好吧以下是正事。
陈大知道之前KeyFC有漏洞么。。
我是学网络安全的，之前因为好奇就对KeyFC进行了安全检测。然后发现了漏洞，之后就试验了一下。
之后本来想跟您联系的，但是刚看到您上线就先给我发来信息了。。
不过我是Key的忠实粉丝，也希望KEyFC越来越好。所以我以我人格担保我没干任何破坏性的事，连后台也没有登陆过……真的,希望陈大相信我。
除了修补漏洞以外，我没有改过论坛的任何文件。这点我同样可以担保。
所以事实上现在我是不能再修改我的积分了，这是实情，确实不是我在耍赖。
希望陈大原谅我这一次。。
漏洞大概就是可以直接以任何帐户登陆论坛……如下是截图。我传到KeyFC相册了。
http://keyfc.net/bbs/showphoto.aspx?photoid=12724 密码是 Key@)!)
如果需要，您可以继续联系我，我接下来应该一直在线。
我不太确定是用哪个帐户发的……
发送人:SummerLight 2010/2/3 14:12:24
这篇发完我刚才关了下浏览器，然后忽然意识到第二篇也没搞明白是用哪个帐户发的信息。
为了确保送达，我就再把大致意思重复一下吧。
刚才因为我的那个浏览器里同时存在三个登陆的凭据（工具前天开机后一直没关），所以我也不确定我到底系统判断是用哪个账户的凭据发的，而且我关了以后现在已经不能再登陆了，没法确认。不论您收到的信息来自谁请回复到这账号。.
给您造成麻烦实在抱歉。
……
发送人:SummerLight 2010/2/3 15:32:24
呃陈大不用做这么绝吧……再怎么说积分也别全清了啊。。我又没干什么坏事。。
回复：
KeyFC有漏洞很早就知道了，也尝试过升级DNT，但考虑到数据与KFC2未来的兼容性，就没有继续。之前也有人通过其他方式修改过积分，发现后做了积分清零的处罚，对于你这次也一样。我们维护这个论坛就已经很累，服务器购买和托管都是自己出钱，应对河蟹也弄到烦死，为小白问题也讨厌死，我不希望再看到有人聪明的去捣乱，去秀自己黑客技术，我们并不希望要花额外的精力去处理这些。
还有上次那个抢注别人要改的用户名就是你吧？
关于漏洞你可以写个详细的分析发给 粘土火星 或 Taishen，他们是技术人员会去处理。
最后，鉴于论坛最近的一些情况，我会发个公告，对于你的惩罚我也会去说，本短消息的内容也会公布。我希望大家在论坛更多是认真的写写字，用心去交流，而不要因为自己有些聪明就去锋芒毕露。这是一个和谐的论坛，只有和谐的人才会在这里真正找到自己的快乐和满足。
re:re:Re:阁下是否还愿意继续待在KeyFC？
发送人:SummerLight 2010/2/3 16:01:36
实在抱歉。。。
我确实不是以捣乱为目的的…您可以去搜索一下，应该没有人在网上发过DZ!NT2.1版本的漏洞……。这个漏洞是我当时专门在我们家的那台老旧服务器上装了DZ!NT的2.1版并研究它的代码研究了一整天后发现的，后来我用这个漏洞上了KeyFC后大致看了一下，因为好奇试着评了下分。之后我就忙于修补漏洞了，并且在那之后我已经帮忙把KeyFC论坛上那个漏洞修补好，在那之后我本想擦了脚印不留名就闪人的，不过我发觉在修补完漏洞后我自己也没法再把积分改回来了……
可能我说这些您不相信，但是我确实没有打算去秀自己的技术或者因为自己有些聪明就去锋芒毕露什么的。我自认为（也只能说是自认为）我在这方面有比较强的道德约束力，我是真的没有过任何想捣乱的想法。。所以确实希望您能高抬贵手。。
关于那个用户名的事，我已经PM过当事人认过错了，他也表示没关系，当时确实纯是一场恶作剧。。也同样希望您谅解。
真是为对您造成的麻烦表示抱歉。。但我还是希望您能高抬贵手。我当初确实没有过过分的想法…本来就想让这事就这么过去的。
如果不介意的话，希望能常联系。我是非常喜欢？KeyFC的，之前一直只是潜水没有注册过账号，这是我唯一一个账号，我不希望就因此而把我在这里的寄托毁了……
谢谢。。
好奇可以自己找地方试，但擅自去用我的ID去乱加分，我会认为是对论坛规则的挑衅。你或许聪明技术好，但论坛是一个社会，而不是纯2D的世界，积分有它的意义，不是可以用来给你做实验的。如果愿意帮助KeyFC改进，比较好的做法是把漏洞描述详细发给我或其他管理员，而不是自作主张去实验去修复。无论初衷如何，这如同我发现你家的门锁有问题，我不打招呼就溜进去把你家的东西翻翻然后乱摆，然后帮你把锁修好再出门。你回家后看到家里东西换了地方，会有什么想法？你会认为是有人好心过来帮你修锁吗？你愿意这样的人再次不打招呼就来你家修门吗？
论坛是社会，不是上了网就可以不遵守社会规则，特别是在KeyFC你仍然要注重人际交往的礼貌。你去任何一个论坛乱改积分，别人肯定首先认为你是在捣乱，你在秀黑客技术，也不会有管理员认为你以帮助修漏洞的理由就可以去改系统，你或许技术很好，但这些人之常情，人际交往的基本道理考虑过了吗？发现了漏洞就马上得意的去试，别人会如何想，你考虑过了吗？
我一向严肃对待论坛积分，任何积分的获取一定要遵守规则，来之有理，特别是加学分。你实验时为何要去试加10个学分？为何不用加1Kp之类低调的做法？你这样做，如何不让别人认为你是在挑衅，在锋芒毕露的秀？你现在可以说自己是没什么恶意，我也基本相信，但你当时除了考虑技术问题，其他的社会规则就可以不去考虑吗？
另外，积分清零的惩罚是不会撤销的，改积分是对规则的严重挑衅，这肯定是严厉惩罚的范畴。我考虑过直接删ID，但搜索了你的帖子，认为你不是纯捣乱那种，还是会认真去发帖，会希望留在KFC，才会先发短消息看你的想法，而不是直接找Taishen去跟你斗技术。如果你愿意留下来，自然是可以，但没可能你改了积分这事就这么过去。以后参加论坛活动或者发精华帖，积分还是很快会加回来的，虽然我觉得在KeyFC积分确实不重要。
re:re:re:re:Re:阁下是否还愿意继续待在KeyFC？
发送人:SummerLight 2010/2/3 17:35:06
嗯，首先在这点上我依然是要郑重地道歉。我当时确实有些自以为是了，应该说，我本来确实没有想到这一点。没有考虑过关于这会给他人造成什么样的影响。可能我确实有些沉湎于那种所谓的“做了好事不留名”的自我优越感满足中了。
首先有一点，或许您可能觉得我是在揪住一些细枝末节胡闹，但我还是想说一下，我并非是发现了漏洞就马上得意的去试。确切地说，在忽然想到要检测KeyFC的安全性的时候，我还没有发现这个漏洞的存在，您也可以在搜索引擎和DZ!NT的论坛上搜索一下，之前并没有人发现过2.1版的漏洞。我为了能够找到KeyFC系统的漏洞漏洞，花了很长很长的时间研究DZ!NT2.1的代码，包括官方的说明文档我都几乎是一个字不漏的看过的。并且我付出了极大的精力去对漏洞进行钻研。我绝对不是以炫耀为目的。更不是想秀技术什么的。而是确实为了这样一个目标而去钻研的。关于这点我，您不是学习这个的，可能无法体会我的想法，所以您只要能听我说一下就行了。虽然您可能不会答应，我希望您不要跟别人说我是研究网络安全技术的。我基本上没有跟别人说过这件事，包括家里人都不知道这点。我同样也不希望周围的人知道这点。
关于修补漏洞那个问题，这里有我个人的苦衷，我希望您如果可以的话能够体谅一下。确实我一开始想过直接把漏洞通知您。但是希望您能够谅解，对于像我这类学习这些方面技术的人来说，技术资料这类东西可以说是生命线。无论如何我不希望我自己发现的漏洞的资料外泄。或许您接下来会觉得看了笑话，但是将漏洞信息与处理方案投稿给Discuz!NT官方，或者写成一篇关于漏洞原理分析的文章投稿给杂志都是我重要的资金来源。我只是一介高中生，并且不习惯向家里要钱，这几乎是我平时生活费唯一的经济来源了。请原谅我因为这种自私的理由不愿向论坛的管理员公开此漏洞。所以我才手动将漏洞修复了。向官方秘密公布漏洞，然后向杂志社投稿，这样在文章发表出来时官方已经出了漏洞补丁，这样才可以在保证尽可能不影响网络秩序的前提下获取经济收益。然而我也不希望看到在将来或许某一天我投给杂志的稿件被发表出来后会看到KeyFC因为没有及时更新系统成为那些无良黑客的攻击目标，所以我唯一能做的就是在投稿前擅自下手自己把漏洞修改了。在您看来这或许是非常自私，或者挑战规则的行为，但是这是我学习这个的守则，我由衷地希望您能理解和体谅。
关于积分问题，其实我当时本来想我当时改积分是因为想看看到底用户组间的等级到底有多少差距。所以我给试着加到最高组别后就没再动它了。当时是凌晨四点多，我本来希望能在5点之前就把它改回来收工的。但是后来修补完漏洞后发现没法弄了。我后来一直想联系您，事实上正在您给我发短信的时候，我正在给您写信息请求您帮我把积分恢复回来。当然这种话没有证据，您也不一定会相信。在改了积分后我没有过任何炫耀积分的行为，我也一直没有希望别人注意过这点。事实上您可以问问水羊之类常客，他们应该都是知道我这个号是新人，我也没有想过拿积分去满足虚荣什么的。如果不是喜欢KeyFC，我也不会守着一个积分还不到500的小号爱不释手，应该说我确实是犯了很严重的过错，但是我保证我在当初绝对没不是以想要改我在论坛上的积分为目的的，事实上我想修改积分完全可以用在后台更隐蔽的方式进行，没必要放到这种地方来。我当时只是想到撤销评分是很方便的，所以就用了这种方式来修改积分。
我确实是真诚地希望您能原谅我。
静候回信。
忏悔中的 夏影
嗯，你原来怎么想是一回事，但你做的事会留给别人是如何的印象又是另外一回事。你既然懂技术，要测试漏洞你可以自己找地方测，测好了就自己去写报告赚钱。但不打招呼用KeyFC正在运行的系统测试，我们又如何能能接受？如果你测试出了问题，影响了论坛运行， 你又如何负责这个后果？我去你家里悄悄的测试门锁有没有漏洞，测好了以后不告诉你，去报告门锁的公司拿报酬，你知道了以后有什么想法？
KFC目前用的还是过渡系统，没有去完善，因为以后还是会离开DNT的，我也觉得论坛技术是否先进完善没有维持一个好的氛围重要。我不欢迎有人去利用过渡系统的漏洞改东西，之前那人也被我训过。总的来说，搞这个论坛我已经很累，河蟹已经可以烦死人，我不希望还有人搞些额外的事情让我担心。
我显然还还愿意继续待在KeyFC…
发送人:SummerLight 2010/2/3 18:38:06
哈哈，看来确实是这样呢。我只是希望您能原谅我而已，积分什么的没必要非得那么较真，论坛里人际关系才是最重要的啊。（话说也不至于1KP也不给我留吧，我刚刚想搜索结果发现KP不够~果然是自作自受啊……哭）
还有啊，有一点似乎您误解了。那个漏洞我不是在KeyFC上测的，我从来没有拿KeyFC作测试样本的意图哦，一点也没有。
我之前应该有说过吧，我家里有台自己作测试用的服务器（用了两篇稿件的稿费买的二手……估计现在二手市场上都卖不到300了……）。我是在那上面搭建的DZ!NT2.1系统作的测试，并且在本地确认了漏洞的现象以及原理和利用方法后才，关于漏洞的修补我也是在本地调试过的，这点您可以放心。我当初想要测试这个漏洞只是因为看到KeyFC用的是DZ!NT 2.1，所以就去研究了，纯属一时兴起吧。后来我是为了看看KeyFC是否也有这个漏洞，所以就上来试了一下，发现果然也有（呃或许说必然也有更准确）。我本来的目的只有帮KeyFC修一下漏洞的。后来改积分这件事我也跟您说了，我只是想看看用户组别的区别而已，真的，本来改完后就想改回去的。。不过确实结果造成了不小的影响。当时我确实没考虑到，可能我动机是好的但是手段确实不太对，这点我认错并忏悔，再认错再忏悔…看来才刚刚高三的我还有很多人情世故方面的东西需要学习啊……
写到这里有个小插曲，
我跟DZ!NT的管理员反映了这个问题了，但他们说没必要为此专门出一个补丁，说让换用3.0版的系统就能解决，然后我就彻底无奈了。。我现在在考虑那篇文章是投稿还是不投稿呢。。
还有一点，为了不想惹麻烦，我之前把我在服务器上的所有脚印都擦了，虽然这确实是对KeyFC服务器上资料的一些改动……希望您不要见怪，我保证没有删过任何无关的东西。。
有道是不打不相识嘛，希望能成为朋友啊。
我在将来也会尽我所能关注KeyFC的安全问题的，不过下次发现漏洞我一定会第一时间先通知您的，不会再擅自行动了哈哈……
夏影
=================================================
陈大…关于论坛的“我的推广”这个功能…
发送人:SummerLight 2010/2/11 16:43:46
不好意思地问一下。这个功能是不是该给关掉。
我前天研究DZ!NT2.1代码的时候偶然间看到这里了，看见论坛原始代码在推广这个功能的代码上写得极其简陋。
甚至连基本的记录都没有。只有一个非常简单的防止重复提交的判断，但是跟没有一样……非常轻松就能绕过去。
而推广一次是可以加2点经验的。
虽然新人区的KeyFC论坛基本使用手册里写到这个东西并说这个是可供使用的。
但是这无疑成了一个合法存在的刷分手段啊。
我觉得要不然就把推广的奖励改成加一定的KP而非经验。
或者干脆把在后台把推广这项的奖励设为0吧。
P.S.
可能是我多管闲事了，我甚至已经猜到可能会有“KeyFC是一个和谐的论坛，只有别有用心的人才会去做恶意刷分这种事的。”这样的回复……（笑）
因为我并不太清楚是否有陈大有着我所不知道的，没有把这项功能关掉的理由。
总之如果是这样，就当我杞人忧天了吧。
正在努力写稿中……
夏影
话说陈大怎么又把我的积分清了……
发送人:SummerLight 2010/2/11 18:24:36
我好像没做什么违规的事情吧……
re:re:话说陈大怎么又把我的积分清了……
发送人:SummerLight 2010/2/11 18:29:22
推广啊……
我记得上次您跟我说的是
改积分是对规则的严重挑衅，这肯定是严厉惩罚的范畴。
在新人讨论区里的KeyFC论坛使用手册里有。还专门说过关于推广这一项功能的介绍……
这个应该是合法的吧，
虽然可能确实有些不合理……
re:re:re:re:话说陈大怎么又把我的积分清了……
发送人:SummerLight 2010/2/11 18:37:30
推广这个功能并不是漏洞啊。
在使用手册里不也写了这个是可以使用的么？
Laputa Chen 21:50:28
承认个错误就那么难？
回复Laputa Chen 21:50:32
那么要面子？
回复Laputa Chen 21:56:55
就像营业部你抢注别人名字那贴，公开也不敢去道个歉
回复Laputa Chen 21:57:02
就那么不明不白的放着
回复Laputa Chen 21:57:06
就喜欢顶嘴？
回复夏影 22:05:16
道歉我在很久以前就道歉过了，是在回复当事人的一篇帖子的时候说的。
营业部的那帖我就认为没必要再去单独说了。
很抱歉，有些问题我认为已经不是面子的问题了。
您是KeyFC的管理员，您在这里有绝对的权利。老实说我虽然认为您说话时总显得脾气暴躁，但是说的话还是很有道理的。
但是这件事我并不认为是认错的问题。
您可以拿那个锁的例子来驳斥我。但是这里不是现实，这里是网络的环境。
既然推广这个功能是KeyFC设立的，当初就应该考虑过这个功能会带来什么样的效果。
您如果关注新闻，也应该知道，即使有银行被人从ATM取钱，银行自己也是要负相当大程度的责任的。
在之前有过多少例子了，在网上订单，因为网站疏忽标了低价，网站自己是必须要兑现的。
如果回到锁那个例子。如果您家门锁着，我进去拿了点东西，我可能被判偷窃。
但是如果是您家门大开着，还直接立个牌子欢迎小偷入内，您觉得这时候还是判小偷的罪合适吗？
如果您觉得我在强词夺理，您可以问问周围其他论坛管理员对于漏洞的态度。
虽然不鼓励，但至少在中国的互联网环境下，利用漏洞只要不造成破坏和损失，是不违反任何规章的。
实在抱歉，我有自己的行事原则，以我的性格很难说您认为的是对的。
从之前的交涉以及帖子中也能看出您的性格大概容忍不了我这种人吧。
回复Laputa Chen 22:09:06
行了，你走吧
回复Laputa Chen 22:09:14
各有适合的地方
回复夏影 22:09:33
猜到您要这么说了。
回复夏影 22:09:48
确实我也没什么好说的了。
回复Laputa Chen 22:10:19
自己玩漏洞去吧
回复Laputa Chen 22:10:23
这里不欢迎你玩
回复夏影 22:11:17
既然这里与其他地方不同，有自己的规矩，我也就不打算继续留下了。
另外您既然说推广是漏洞，那您为什么当初还要打开这一功能？
回复Laputa Chen 22:11:42
是前任管理员开的
回复Laputa Chen 22:11:46
默认功能而已
回复Laputa Chen 22:11:59
也没打算用
回复Laputa Chen 22:12:16
嗯，以前有过你这样的人，我看还是走吧
回复Laputa Chen 22:12:39
技术宅有更好的地方去搞技术
回复夏影 22:13:11
技术宅么……这还真是多谢夸奖了。
回复夏影 22:13:39
能在有生之年听到别人这么说我还真是荣幸啊。
回复416412902 22:15:37
不过既然走了，我在最后想说一句。
您最好在使用手册里明明白白地写上，使用哪些手段做什么事会被河蟹。
在没有跟人和人说过规则的情况下就要别人抛弃公认的规则转听您的那套规则的话，我不认为是什么好事
回复Laputa Chen 22:18:08
公认的规则是可以去用论坛漏洞该积分？
回复Laputa Chen 22:18:46
漏洞是个宝，找到了你就可以去用？
回复夏影 22:26:53
您的话在逻辑上是在偷换概念。
公认的规则是，如果论坛自己有漏洞，被人利用那是论坛的问题。
如果利用漏洞并恶意造成破坏，那是刑事犯罪，您可以将损失上报给公安部门，请求他们追回损失。
但是利用漏洞进行无破坏目的的研究并不是违规行为。
您应该也知道之前的中美黑客大战和最近百度DNS被修改导致的中国一些所谓的黑客去攻击伊朗网站的事。
互联网崇尚的精神是开放自由，网络安全之所以能够成为信息技术领域的重要学科，与这种鼓励研究的精神是密不可分的。
您不要把这里看成是现实世界。确实，在KeyFC您说了算，我不过是个无名小人，我没权利对KeyFC的规则挑三拣四。
但是互联网的规则不是由您来定的。
况且上次是您说过 积分不重要 的。
我只是说说，听不听是您自己的自由。我也认为您是绝对不会听的。
回复Laputa Chen 22:28:56
积分不重要就可以让你随便改啊，你是不是也偷换概念呢
回复Laputa Chen 22:29:04
积分是不是一个规则
回复Laputa Chen 22:29:38
干什么可以加多少分你就可以去改
回复夏影 22:30:32
我说过积分不重要就可以随便改吗？
您这是断章取义吧。
如果照您所说，
积分是不是一个规则
干什么可以加多少分你就可以去改
点一次推广就可以加2经验是不是KeyFC的规则？
回复夏影 22:30:48
您这不是在自己反驳自己吗？
回复Laputa Chen 22:30:50
嗯，那何为推广？
回复Laputa Chen 22:31:00
真的有那么多人点了你的链接？
回复Laputa Chen 22:31:12
有那么多人来KFC看过了？
回复Laputa Chen 22:31:48
嗯，我改了积分规则，你再去改，大家都去改，都去玩漏洞，何为规则？
回复Laputa Chen 22:32:46
你的推广链接发在了哪里？
回复Laputa Chen 22:33:06
不还是利用个漏洞玩
回复Laputa Chen 22:34:04
管理员可以改积分规则，所以你也可以改积分？
回复Laputa Chen 22:34:21
大家只要会用漏洞都可以改积分？
回复Laputa Chen 22:37:03
反正改积分不是恶意，你去其他论坛改过没？别人欣赏你的善意吗？
回复夏影 22:38:59
您口口声声说这是漏洞，
但这个又哪里是漏洞？
又有哪里说过那么多人点击链接才加经验？
您可以这么说，因为您有权利定义“推广”
但是论坛显示给外面的规则却是，点一下推广就可以加2经验。
您要是真这么定义推广您完全可以去找自己定义，注册一个用户给推广者加5分，这才是大众所谓的推广。
况且，您管这个叫改积分？
我点这些推广链接，我没有付出劳动吗？
既然论坛自己设定这样的规则，那我也应该是劳动所得。您认为您在这方面设置的积分规则有问题，就能说用这种方法劳动获取积分的人是在作弊？
举个例子。您指挥工作，有两种活，第一种干半天得1块钱，第二种干一会得100块钱。
您没要求用什么方法干，只要求有结果。
然后有人用第二种方法赚了钱，您就说那个人作弊吗？
另外，很奇怪您怎么会问这种问题，您以为我为什么会在别的论坛当安全顾问？
不同人对这种事的看法是不同的。
您认为您这里您说了算，那我也就没什么好说的了。
我都说了，不要用您自己的规则理解公认的规则。
回复Laputa Chen 22:39:51
嗯，你还可以多改几个论坛看看
回复Laputa Chen 22:40:27
嗯，那之前用我的ID加分算是用漏洞了吧
回复夏影 22:40:40
没错啊，这我已经承认了
回复Laputa Chen 22:40:43
你自己也说这样不合理
回复夏影 22:41:20
对，那次我认错了。
您没觉得我这两次态度180度大转弯么
