ECSHOP是熱門電商建站系統(tǒng)，很多知名電商都在使用。如果系統(tǒng)出現(xiàn)漏洞，被入侵甚至拖庫(kù)，將給網(wǎng)站和用戶帶來(lái)巨大損失。近日，360網(wǎng)站安全第三方漏洞收集平臺(tái)收到白帽子提交的ECSHOP二次注入高危漏洞，黑客可以利用此漏洞直接執(zhí)行SQL語(yǔ)句，可以獲取數(shù)據(jù)、修改數(shù)據(jù)、刪除數(shù)據(jù)，甚至寫(xiě)入后門，進(jìn)而控制服務(wù)器。對(duì)此，360已于第一時(shí)間向ECSHOP通報(bào)了該漏洞細(xì)節(jié)并協(xié)助推出了官方修復(fù)補(bǔ)丁，請(qǐng)使用該建站程序的網(wǎng)站站長(zhǎng)盡快修復(fù)。補(bǔ)丁地址：http://bbs.ecshop.com/thread-1131753-1-1.html
“360第三方漏洞收集平臺(tái)”是360公司推出的漏洞懸賞項(xiàng)目，以現(xiàn)金獎(jiǎng)勵(lì)方式征集開(kāi)源建站系統(tǒng)漏洞，用以幫助軟件公司和開(kāi)發(fā)者及時(shí)推出漏洞補(bǔ)丁，加強(qiáng)國(guó)內(nèi)網(wǎng)站對(duì)黑客攻擊“拖庫(kù)”的防范能力。已經(jīng)協(xié)助多家廠商修復(fù)了漏洞，涉及Discuz！、ShopEx、ECShop、PHPWind、PHPCMS、DEDECMS等知名建站系統(tǒng)。
對(duì)于無(wú)法立刻修復(fù)漏洞的網(wǎng)站，建議啟用360免費(fèi)網(wǎng)站防護(hù)產(chǎn)品—360網(wǎng)站衛(wèi)士，可以幫助網(wǎng)站防入侵、防攻擊、防篡改，而且可以快速配置。地址：http://wangzhan.#/
附：漏洞原理：
漏洞存在mobile頁(yè)面，由于用戶注冊(cè)能使用任意字符作為用戶名，導(dǎo)致后續(xù)的二次注入漏洞，用戶注冊(cè)未過(guò)濾。
用構(gòu)造好的語(yǔ)句當(dāng)做用戶名注冊(cè)用戶，存入數(shù)據(jù)庫(kù)，后續(xù)會(huì)對(duì)用戶名做查詢操作導(dǎo)致產(chǎn)生了sql注入攻擊。
漏洞利用效果
直接插入構(gòu)造好的sql語(yǔ)句來(lái)注冊(cè)用戶名，然后登入
