Drupal 6.x是否易受Drupalgeddon SQL注入攻击？涉及哪些表单、目录？

嘿，这个问题问得很到位！咱们把这事说清楚：Drupal 6.x版本确实易受Drupalgeddon系列的SQL注入攻击，尤其是Drupalgeddon 2（CVE-2018-7600）以及更早的相关变种。这些漏洞的根源在于Drupal核心的表单处理和数据库查询逻辑里，存在未正确过滤用户输入的问题。

下面是具体的易受攻击的相关内容：

• 用户登录表单：这是最典型的攻击入口。攻击者可以构造恶意的用户名或密码输入来触发SQL注入，尤其是当站点启用了依赖核心用户验证逻辑的模块时，风险会更高。
• 评论提交表单：如果站点开放了用户评论功能，评论表单里的作者名称、评论内容等字段都可能成为攻击点——核心在处理这些输入时没有做严格的过滤。
• 节点创建/编辑表单：对于拥有内容创建或编辑权限的用户（甚至是权限配置不当的匿名用户），节点的标题、自定义字段等都可能被用来注入恶意SQL语句。
• 核心模块对应路径：和user.module、node.module相关的路径，比如/user/login、/comment/reply/{nid}、/node/add/{content-type}，这些路径的请求处理逻辑里存在未参数化的数据库查询，是漏洞触发的关键位置。
• 依赖核心API的自定义模块：如果站点使用了自定义模块，且这些模块直接调用了核心未做安全处理的数据库查询函数（比如使用未参数化的db_query()），也可能间接受到漏洞影响。

需要提醒的是，Drupal官方当时针对这些漏洞发布过安全补丁，但Drupal 6早已停止官方支持，所以最好的解决方案是尽快迁移到受支持的更高版本Drupal。同时可以先检查站点权限设置，限制匿名用户或不信任用户的不必要操作权限。

内容的提问来源于stack exchange，提问作者stwpd