聯(lián)系我們
導(dǎo)讀：ecshop漏洞于2018年9月12日被某安全組織披露爆出，該漏洞受影響范圍較廣，ecshop2.73版本以及目前最新的3.0、3.6、4.0版本都受此次ecshop漏洞的影響，主要漏洞是利用遠(yuǎn)程代碼執(zhí)行
發(fā)表日期：2020-06-20
文章編輯：興田科技
瀏覽次數(shù)：8204
標(biāo)簽：
ecshop漏洞于2018年9月12日被某安全組織披露爆出，該漏洞受影響范圍較廣，ecshop2.73版本以及目前最新的3.0、3.6、4.0版本都受此次ecshop漏洞的影響，主要漏洞是利用遠(yuǎn)程代碼執(zhí)行sql注入語(yǔ)句漏洞，導(dǎo)致可以插入sql查詢代碼以及寫入代碼到網(wǎng)站服務(wù)器里，嚴(yán)重的可以直接獲取服務(wù)器的管理員權(quán)限，甚至有些網(wǎng)站使用的是虛擬主機(jī)，可以直接獲取網(wǎng)站ftp的權(quán)限，該漏洞pOC已公開(kāi)，使用簡(jiǎn)單，目前很多商城網(wǎng)站都被攻擊，危害較大，針對(duì)于此我們SINE安全對(duì)該ECSHOp漏洞的詳情以及如何修復(fù)網(wǎng)站的漏洞，及如何部署網(wǎng)站安全等方面進(jìn)行詳細(xì)的解讀。
ecshop漏洞產(chǎn)生原因
全系列版本的ecshop網(wǎng)站漏洞，漏洞的根源是在網(wǎng)站根目錄下的user.php代碼，在調(diào)用遠(yuǎn)程函數(shù)的同時(shí)display賦值的地方可以直接插入惡意的sql注入語(yǔ)句，導(dǎo)致可以查詢mysql數(shù)據(jù)庫(kù)里的內(nèi)容并寫入數(shù)據(jù)到網(wǎng)站配置文件當(dāng)中，或者可以讓數(shù)據(jù)庫(kù)遠(yuǎn)程下載文件到網(wǎng)站目錄當(dāng)中去。
此referer里的內(nèi)容就是要網(wǎng)站遠(yuǎn)程下載一個(gè)腳本大馬，下載成功后會(huì)直接命名為SINE.php,攻擊者打開(kāi)該文件就可以執(zhí)行對(duì)網(wǎng)站的讀寫上傳下載等操作，甚至?xí)苯尤肭址?wù)器，拿到服務(wù)器的管理員權(quán)限。
ecshop漏洞修復(fù)
目前ecshop官方并沒(méi)有升級(jí)任何版本，也沒(méi)有告知漏洞補(bǔ)丁，我們SINE安全公司建議各位網(wǎng)站的運(yùn)營(yíng)者對(duì)網(wǎng)站配置目錄下的lib_insert.php里的id以及num的數(shù)據(jù)轉(zhuǎn)換成整數(shù)型，或者是將網(wǎng)站的user.php改名，停止用戶管理中心的登錄，或者找專業(yè)的網(wǎng)站安全公司去修復(fù)漏洞補(bǔ)丁，做好網(wǎng)站安全檢測(cè)與部署。對(duì)網(wǎng)站的images目錄寫入進(jìn)行關(guān)閉，取消images的php腳步執(zhí)行權(quán)限。
本文來(lái)源：A5上一篇：
暫無(wú)信息更多新聞
2020
關(guān)于網(wǎng)站建設(shè)，科技是第一生產(chǎn)力，信息時(shí)代是技術(shù)的時(shí)代。誰(shuí)主導(dǎo)了技術(shù)，誰(shuí)就主導(dǎo)著未來(lái)社會(huì)的發(fā)展。到這里，應(yīng)該說(shuō)這些結(jié)論都有道理。但由于信息技術(shù)的代表
View details
2020
關(guān)于網(wǎng)站建設(shè)，總有很多人問(wèn)我百度怎么了？有什么變化，為什么不更新等等諸如此類的問(wèn)題。不論是否百度做過(guò)算法調(diào)整，或許只要因?yàn)槟承┦虑榘俣炔桓?，也?huì)有
View details
2020
關(guān)于網(wǎng)站建設(shè)，DIY自助建站工具（站長(zhǎng)工具），主要是通過(guò)使用模板和內(nèi)容管理系統(tǒng)來(lái)建設(shè)及更新網(wǎng)站。使得網(wǎng)站建設(shè)與維護(hù)都變得容易起來(lái)。許多主機(jī)服務(wù)提供商都
View details
2020
關(guān)于網(wǎng)站建設(shè)，當(dāng)搜索引擎的算法改變或者加強(qiáng)時(shí)，導(dǎo)致一些網(wǎng)站的某些關(guān)鍵字排名消失，一些管理員就說(shuō)他們的網(wǎng)站消失了。實(shí)際上并非如此，在搜索引擎算法改變
View details
