ECShop曝高危SQL注入漏洞 360首推臨時解決方案
來源:網(wǎng)上生意 2012-11-12
360網(wǎng)站安全檢測平臺對注冊網(wǎng)站檢測發(fā)現(xiàn),國內(nèi)3000余個網(wǎng)站存在此漏洞,是近期流行度最高的漏洞之一
日前,第三方漏洞報告平臺烏云曝出國內(nèi)知名網(wǎng)店系統(tǒng)ECShopGBK版本存在高危SQL注入漏洞,(http://wooyun.org/bugs/wooyun-2010-09463),黑客利用此漏洞可獲得管理員賬號密碼,竊取網(wǎng)站數(shù)據(jù)目前,360已獨家提供了應(yīng)對該漏洞的臨時解決方案
360網(wǎng)站安全檢測平臺網(wǎng)址:http://webscan.#
ECShop是一款基于PHP與MYSQL開發(fā)的B2C網(wǎng)店系統(tǒng),國內(nèi)大量企業(yè)及個人用戶使用ECShop建立網(wǎng)上商店360安全專家表示,目前使用ECShopGBK版本的所有網(wǎng)站,都存在這一SQL注入漏洞,漏洞的文件為user.php
圖1:ECShop程序中的user.php中過濾不嚴(yán)導(dǎo)致漏洞
360安全專家分析發(fā)現(xiàn),漏洞成因在于user.php文件會直接帶入SQL語句操作數(shù)據(jù)庫的用戶可控變量由于ECShopGBK版本采用GBK編碼(寬字符編碼),攻擊者可通過傳入半個字符的方式繞過對單引號的轉(zhuǎn)義,故而導(dǎo)致可執(zhí)行任意構(gòu)造的SQL注入語句此外,程序?qū)agic_quotes_gpc是否開啟也做出了判斷,攻擊者可利用相同注入語句進(jìn)行注入,并通過MD5解密工具對MD5密文進(jìn)行破解得到明文賬號密碼,從而竊取網(wǎng)站任意數(shù)據(jù)
圖2:寬字節(jié)SQL注入利用漏洞
由于ECShop官方尚未針對此高危SQL注入漏洞發(fā)布修復(fù)補丁,所以360網(wǎng)站安全檢測平臺已不僅第一時間向旗下網(wǎng)站發(fā)出警告郵件,還同時提供了臨時解決方案(附錄),建議站長和網(wǎng)站管理員盡快手動修復(fù),同時推薦使用360網(wǎng)站安全檢測平臺和360網(wǎng)站衛(wèi)士,隨時掌握網(wǎng)站安全狀況
附:360獨家提供的臨時解決方案:
在user.php文件的第276行,增加下面一行語句:
$username=str_replace('\'','',stripslashes($username));
關(guān)于360網(wǎng)站安全服務(wù)
360為站長提供免費的網(wǎng)站安全解決方案,包括360網(wǎng)站安全檢測平臺和360網(wǎng)站衛(wèi)士:
360網(wǎng)站安全檢測平臺是國內(nèi)首個集網(wǎng)站漏洞檢測、網(wǎng)站掛馬監(jiān)控、網(wǎng)站篡改監(jiān)控于一體的免費檢測平臺,擁有全面的網(wǎng)站漏洞庫及蜜罐集群檢測系統(tǒng),能夠第一時間協(xié)助網(wǎng)站檢測修復(fù)漏洞;
360網(wǎng)站衛(wèi)士則為站長免費提供網(wǎng)站防火墻、DDOS保護、CC保護、智能DNS解析、盜鏈保護、頁面壓縮、緩存加速和永久在線等服務(wù)
關(guān)于奇虎360科技有限公司
奇虎360(NYSE:QIHU)是中國第一大互聯(lián)網(wǎng)安全服務(wù)提供商按照用戶數(shù)量計算,目前奇虎360是中國第三大互聯(lián)網(wǎng)公司作為“免費安全”的首創(chuàng)者,奇虎360為近4億中國互聯(lián)網(wǎng)用戶提供領(lǐng)先的互聯(lián)網(wǎng)和無線安全產(chǎn)品及服務(wù),覆蓋率近90%奇虎360通過提供細(xì)致、完善的平臺服務(wù)以及網(wǎng)絡(luò)安全服務(wù),以開放平臺實現(xiàn)商業(yè)價值,與合作伙伴共同建立起多方共贏的互聯(lián)網(wǎng)生態(tài)體系
文章編輯: 365webcall網(wǎng)上客服軟件(www.365webcall.com)
我的評論
| 登錄賬號： | 密碼： | 快速注冊 | 找回密碼 |  |
