当前位置:首页 > 互联网 > 正文内容

ecshop三级分销商城小京东V5.0多商户版@锦尚中国.rar后门及漏洞详情

光的传人9年前 (2016-08-10)互联网5452

你是否下载了某源码论坛的三级分销商城小京东V5.0多商户版|B2B2C商城系统源|带触屏版+微信+修复支付程序?压缩包文件名为:三级分销商城小京东V5多商户版@锦尚中国.rar。如果是,就要注意了,这个程序源码是有后门的,并且是webshell!而且ecshop核心程序的很多漏洞也没有修复!

小京东V5.0后门程序(原压缩包里面的截图):

对,就是红框中的phps.php,是一个密码为angel的wenshell。这个程序源码是锦尚中国论坛超级版主欧阳锋发布的,不知道他发布的其他源码是否有后门,请自测。

ecshop内核的漏洞,主要有7个,分别是以下文件(要不是阿里云有这个功能,我还不知道ecshop有这么多注入漏洞呢!)

漏洞文件分别是:

 /mobile/includes/modules/payment/alipay.php(漏洞描述:ECSHOP支付插件存在SQL注入漏洞,此漏洞存在于/includes/modules/payment/alipay.php文件中,该文件是ECshop的支付宝插件。由于ECShop使用了str_replace函数做字符串替换,黑客可绕过单引号限制构造SQL注入语句。只要开启支付宝支付插件就能利用该漏洞获取网站数据,且不需要注册登入)
/mobile/api/client/includesb_api.php(漏洞描述:ECShop存在一个盲注漏洞,问题存在于/api/client/api.php文件中,提交特制的恶意POST请求可进行SQL注入攻击,可获得敏感信息或操作数据库)
/admin/edit_languages.php(漏洞描述:ecshop后台模版编译导致黑客可插入任意恶意代码)
/includes/modules/payment/alipay.php(漏洞描述:ECSHOP支付插件存在SQL注入漏洞,此漏洞存在于/includes/modules/payment/alipay.php文件中,该文件是ECshop的支付宝插件。由于ECShop使用了str_replace函数做字符串替换,黑客可绕过单引号限制构造SQL注入语句。只要开启支付宝支付插件就能利用该漏洞获取网站数据,且不需要注册登入)
/category.php(漏洞描述:ecshop过滤不严导致SQL注入漏洞)
/app/includes/modules/payment/alipay.php(漏洞描述:ECSHOP支付插件存在SQL注入漏洞,此漏洞存在于/includes/modules/payment/alipay.php文件中,该文件是ECshop的支付宝插件。由于ECShop使用了str_replace函数做字符串替换,黑客可绕过单引号限制构造SQL注入语句。只要开启支付宝支付插件就能利用该漏洞获取网站数据,且不需要注册登入)
/api/client/includesb_api.php(ECShop存在一个盲注漏洞,问题存在于/api/client/api.php文件中,提交特制的恶意POST请求可进行SQL注入攻击,可获得敏感信息或操作数据库) 

请自行搜索相关补丁及修复方案进行修复。本站不提供源码及修复文件。

扫描二维码推送至手机访问。

版权声明:本文由光的传人博客www.liu16.com发布,如需转载请注明出处。

本文链接:http://www.liu16.com/post/ecshop_7312.html

分享给朋友:

相关文章

阿里云服务器ECS免费试用五天,送20元代金券!

阿里云服务器ECS免费试用五天,送20元代金券!

今天试用了一下阿里云的云服务器,选的试用里面最高的配置(反正试用不花钱,当然要选最好的):CPU:2核操作系统:Windows Server 2008...带宽计费方式:固定带宽5Mbps内存:2GB数据盘:130G试用了一下,感觉速度什么...

百度站长工具开通Sitemap权限说明

百度站长工具开通Sitemap权限说明

站长最新消息:五一将至,在劳动人民放假之前,百度站长平台发出一份厚礼:4月23日至30 日,百度站长平台每天有几万个sitemap权限于11:00-19:00送出!点击链接:http://zhanzhang.baidu.com/a...

色就是色,嘻嘻色,色人真正网址是什么?美丽说难道要靠这些关键词引流量了么?

色就是色,嘻嘻色,色人真正网址是什么?美丽说难道要靠这些关键词引流量了么?

声明:此文不是分享色情网站网址的,真的不是!只是分析了下美丽说与色即是色、嘻嘻色、色人之间的关系而已~不信你仔细看看!也许会有收获!刚看了下去年非常火的美丽说权重,看到了引流量排名第二的一个关键词竟然是“色就是色”,百度指数12151;排名...

百度客服解密百度推广黑幕(真黑啊!)

百度客服解密百度推广黑幕(真黑啊!)

 前两天跟不同地方的一个百度推广工作人员谈论这个百度推广是否有人工降权的问题,聊天记录如下:有可能~这个回答说明了很大问题吧!呵呵如果真的没有这个事情,百度客服肯定会回答:不可能!“有可能”,不肯定,不否定,说明了一切玄机!度娘,...

.wang顶级域名即将横空出世,你会买么?

.wang顶级域名即将横空出世,你会买么?

刚看到消息,.wang顶级域名即将横空出世!看了下注册局的信息,Zodiac Registry Limited(黄道科技,以下亦可简称“注册局”)获得互联网名称与数字地址分配机构(ICANN)正式授权,成为全球互联网顶级域名注册局,负责全权...

乐视手机乐max3什么时候出?乐max2依旧性价比超高

乐视手机乐max3什么时候出?乐max2依旧性价比超高

最近准备换手机,却发现今年新出的手机没有一款看上眼的。不是游戏党,所以对手机的游戏体验不是很看重,但是对手机配置非常看重,首先要有超高的性价比,牌子不是很重要。不是天天腻歪着手机玩,所以不打算花很多钱买个手机(感觉超过2000的手机,还不如...

发表评论

访客

看不清,换一张

◎欢迎参与讨论,请在这里发表您的看法和观点。