ecshop 全系列版本网站漏洞远程代码执行sql注入漏洞-低调大师

ecshop 全系列版本网站漏洞远程代码执行sql注入漏洞

2018-09-12 588

ecshop漏洞于2018年9月12日被某安全组织披露爆出，该漏洞受影响范围较广，ecshop2.73版本以及目前最新的3.0、3.6、4.0版本都受此次ecshop漏洞的影响，主要漏洞是利用远程代码执行sql注入语句漏洞，导致可以插入sql查询代码以及写入代码到网站服务器里，严重的可以直接获取服务器的管理员权限，甚至有些网站使用的是虚拟主机，可以直接获取网站ftp的权限，该漏洞POC已公开，使用简单，目前很多商城网站都被攻击，危害较大，针对于此我们SINE安全对该ECSHOP漏洞的详情以及如何修复网站的漏洞，及如何部署网站安全等方面进行详细的解读。

ecshop漏洞产生原因

全系列版本的ecshop网站漏洞，漏洞的根源是在网站根目录下的user.php代码，在调用远程函数的同时display赋值的地方可以直接插入恶意的sql注入语句，导致可以查询mysql数据库里的内容并写入数据到网站配置文件当中，或者可以让数据库远程下载文件到网站目录当中去。

此referer里的内容就是要网站远程下载一个脚本大马，下载成功后会直接命名为SINE.php,攻击者打开该文件就可以执行对网站的读写上传下载等操作，甚至会直接入侵服务器，拿到服务器的管理员权限。

ecshop漏洞修复

目前ecshop官方并没有升级任何版本，也没有告知漏洞补丁，我们SINE安全公司建议各位网站的运营者对网站配置目录下的lib_insert.php里的id以及num的数据转换成整数型，或者是将网站的user.php改名，停止用户管理中心的登录，或者找专业的网站安全公司去修复漏洞补丁，做好网站安全检测与部署。对网站的images目录写入进行关闭，取消images的php脚步执行权限。

微信关注我们

原文链接：https://yq.aliyun.com/articles/639000

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

完美的alert美化

默认的alert总是在好看的样式下显得格格不入，所以在网上搜寻良久，终于找到了一个完美的美化方案。体验请点我一、引入js和css文件二、js调用替代alert 一、引入js和css文件 1、直接在head引入 <link rel="stylesheet" type="text/css" href="http://www.huangwx.cn/css/sweetalert.css"> <script type="text/javascript" src="http://www.huangwx.cn/js/sweetalert-dev.js"></script> 2、下载之后再引入，下载链接在文末。二、js调用替代alert 直接使用swal()函数替代alert函数即可，同时sweetalert还提供更加多样化的弹出框。 1、标准弹出框 swal("开始这个完美的弹出框旅程吧！") 2、带标题和文本的alert swal("这是标题！","这是文本") 3、成功的提示，可以带动画效果的哦 swal("这还是标题！","这还是文本","succ...

2018-09-12

882

安装安装SDKMAN Gradle在安装之前可以选择很多安装方式，这里选择SDKMAN。其他方式见安装说明。 linux安装SDKMAN，分别执行： # 下载安装执行 $ curl -s "https://get.sdkman.io" | bash # 自行设置 $ source "$HOME/.sdkman/bin/sdkman-init.sh" 安装结果测试。输入： $ sdk version 成功安装会输出： ==== BROADCAST ================================================================= * 02/07/18: Kscript 2.4.5 released on SDKMAN! #kscript * 28/06/18: Micronaut 1.0.0.M2 released on SDKMAN! #micronautfw * 27/06/18: Infrastructor 0.2.0 rolling out. With stronger encryption and new task progr...

2018-09-12

760

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。