当前位置:首页 > 互联网 > 正文内容

ecshop三级分销商城小京东V5.0多商户版@锦尚中国.rar后门及漏洞详情

光的传人6年前 (2016-08-10)互联网4490

你是否下载了某源码论坛的三级分销商城小京东V5.0多商户版|B2B2C商城系统源|带触屏版+微信+修复支付程序?压缩包文件名为:三级分销商城小京东V5多商户版@锦尚中国.rar。如果是,就要注意了,这个程序源码是有后门的,并且是webshell!而且ecshop核心程序的很多漏洞也没有修复!

小京东V5.0后门程序(原压缩包里面的截图):

对,就是红框中的phps.php,是一个密码为angel的wenshell。这个程序源码是锦尚中国论坛超级版主欧阳锋发布的,不知道他发布的其他源码是否有后门,请自测。

ecshop内核的漏洞,主要有7个,分别是以下文件(要不是阿里云有这个功能,我还不知道ecshop有这么多注入漏洞呢!)

漏洞文件分别是:

 /mobile/includes/modules/payment/alipay.php(漏洞描述:ECSHOP支付插件存在SQL注入漏洞,此漏洞存在于/includes/modules/payment/alipay.php文件中,该文件是ECshop的支付宝插件。由于ECShop使用了str_replace函数做字符串替换,黑客可绕过单引号限制构造SQL注入语句。只要开启支付宝支付插件就能利用该漏洞获取网站数据,且不需要注册登入)
/mobile/api/client/includesb_api.php(漏洞描述:ECShop存在一个盲注漏洞,问题存在于/api/client/api.php文件中,提交特制的恶意POST请求可进行SQL注入攻击,可获得敏感信息或操作数据库)
/admin/edit_languages.php(漏洞描述:ecshop后台模版编译导致黑客可插入任意恶意代码)
/includes/modules/payment/alipay.php(漏洞描述:ECSHOP支付插件存在SQL注入漏洞,此漏洞存在于/includes/modules/payment/alipay.php文件中,该文件是ECshop的支付宝插件。由于ECShop使用了str_replace函数做字符串替换,黑客可绕过单引号限制构造SQL注入语句。只要开启支付宝支付插件就能利用该漏洞获取网站数据,且不需要注册登入)
/category.php(漏洞描述:ecshop过滤不严导致SQL注入漏洞)
/app/includes/modules/payment/alipay.php(漏洞描述:ECSHOP支付插件存在SQL注入漏洞,此漏洞存在于/includes/modules/payment/alipay.php文件中,该文件是ECshop的支付宝插件。由于ECShop使用了str_replace函数做字符串替换,黑客可绕过单引号限制构造SQL注入语句。只要开启支付宝支付插件就能利用该漏洞获取网站数据,且不需要注册登入)
/api/client/includesb_api.php(ECShop存在一个盲注漏洞,问题存在于/api/client/api.php文件中,提交特制的恶意POST请求可进行SQL注入攻击,可获得敏感信息或操作数据库) 

请自行搜索相关补丁及修复方案进行修复。本站不提供源码及修复文件。

扫描二维码推送至手机访问。

版权声明:本文由光的传人博客www.liu16.com发布,如需转载请注明出处。

本文链接:http://www.liu16.com/post/ecshop_7312.html

分享给朋友:

相关文章

云端为什么会离我们而去?

云端为什么会离我们而去?

今天电脑突然弹出一个云端的消息,消息如下:各位云粉:大家好!由于我们在开发环节遇到一些无法解决的问题,经过审慎评估,我们决定从即日起停止云端软件平台各类资源的更新,并于2014年4月17日关停云端软件平台下属所有网站,届时您将无法继续访问云...

移动4G,我们真的需要么?CMCC将何去何从?

移动4G,我们真的需要么?CMCC将何去何从?

移动4G横空出世,号称8秒钟就能下载完一部几百M的电影!网速之快,让人瞠目结舌!可是,前提是我们的手机或者上网设备要支持移动4G,也就是说,我们现有的3G手机要升级换代才能享受4G!再就是,移动4G是以流量计算费用的,1G的流量就要238元...

雾霾天气助”环保“问题登上两会热门榜首

雾霾天气助”环保“问题登上两会热门榜首

雾霾什么的最烦人了。小时候 ,只有雾,没有霾。我在雾里 ,霾在哪里? 长大后 ,雾跟霾日益亲密 。我在看雾, 霾在看我 。 到如今 ,雾霾融为一体 。我用 985测雾霾 ,雾霾用PM2.5测我的抵抗力!2014年3月3日至3月13日的全国...

美乐乐网站打不开?域名被劫持?该域名被dns盾锁定,具体原因请联系我们客服!

美乐乐网站打不开?域名被劫持?该域名被dns盾锁定,具体原因请联系我们客服!

刚才访问美乐乐网站的时候,竟然出现了以下提示:该域名被dns盾锁定,具体原因请联系我们客服!谢谢!this domain is locked by dnsdun.com. Please contact us.这是怎么回事呢?其中“dns盾”...

2017年国内购买域名都要实名认证了

2017年国内购买域名都要实名认证了

刚看了阿里云关于网站域名实名认证的解释《买域名必须实名认证吗,实名认证需要提供什么资料?》,发现,续费后的com域名如果在2017年5月31日前没有实名认证的话,也会被停止解析……华夏名网也公告“所有存量域名必须于2017年6月15日前完成...

学生裸条门事件图片视频 [148P+11V]下载?别找了

学生裸条门事件图片视频 [148P+11V]下载?别找了

刚在某群里看到有人说“学生裸条门事件图片视频 [148P+11V],终于找到了 ”(有人回复发文不发种,*****)。难道裸条门事件中的图片视频流传出来真有其事?前几天看过关于“学生裸条门事件”的相关新闻,没想到都好几天了,这样的...

发表评论

访客

看不清,换一张

◎欢迎参与讨论,请在这里发表您的看法和观点。