360网站安全检测平台协助ShopEx修复高危漏洞

作者: 来源:未知 2013-04-16 22:51:08 阅读 我要评论 直达商品

  乐购网讯 4月10日消息,360网站安全检测平台透露,该平台近期协助ShopEx(商派)网上商店系统修复两处高危漏洞,建议广大采用ShopEx建站系统的电商网站尽快安装补丁。据介绍,ShopEx漏洞由技术高手cond0r提交给360网站安全漏洞悬赏“库带计划”,从而推动ShopEx快速修复了漏洞。

  ShopEx系统是国内市场占有率最高的B2C网店建站系统之一,众多知名企业均使用该系统建立电商网站。一旦ShopEx系统的漏洞被黑客利用,大批电商网站将面临数据库被“拖库”、网站被篡改等风险,也会对网购消费者造成严重损失。360协助ShopEx修复漏洞,有助于广大电商网站提升防黑能力,保护消费者的账号安全。

  此次,360“库带计划”接到的ShopEx漏洞包括SQL注入漏洞和文件包含漏洞。其中,SQL注入漏洞直接威胁网站服务器和数据库,可导致数据库被黑客“拖库”;文件包含漏洞则可被黑客利用获取服务器敏感文件内容,或直接执行恶意脚本等,同样具有较大危害。

  据悉,360“库带计划”是国内首个第三方漏洞付费收录平台,以现金奖励方式征集开源建站系统漏洞,单个漏洞奖励金额最高可达1万元。自3月份“库带计划”启动以来,360网站安全检测平台已经收集了包括DISCUZ、PHPWIND、DEDECMS、PHPCMS、齐博CMS、NetGather等多个知名建站系统的漏洞,并协助厂商及时修复。

  目前,ShopEx官网已经发布漏洞补丁,360网站安全检测平台(http://webscan.360.cn)也第一时间向注册用户发送了告警邮件,提醒站长们尽快打补丁;同时建议网站站长们免费启用360网站卫士(http://wangzhan.360.cn/),可以在官方补丁发布前有效防范各种0day漏洞攻击。

  附:ShopEx网上商店系统漏洞及补丁情况

  ShopEx官方补丁程序下载地址:http://bbs.shopex.cn/read.php?tid-299932.html

  ShopEx系统文件包含漏洞存在于/core/api/shop_api.php文件中的shop_api函数中:

  

  图1:ShopEx文件包含漏洞对应的代码位置

  以下是测试demo:

  

  图2:文件包含漏洞测试效果

  SQL注入漏洞存在于/core/shop/controller/ctl.member.php文件中的insertRec函数中:

  

  图3:SQL注入漏洞对应的代码位置

  利用SQL注入漏洞获取到用户名密码hash值:

  

  图4:SQL注入漏洞利用效果

  关于360网站安全服务

  360为站长提供免费的网站安全解决方案,包括360网站安全检测平台和360网站卫士:

  360网站安全检测平台是国内首个集网站漏洞检测、网站挂马监控、网站篡改监控于一体的免费检测平台,拥有全面的网站漏洞库及蜜罐集群检测系统,能够第一时间协助网站检测修复漏洞;

  360网站卫士则为站长免费提供网站防火墙、DDOS保护、CC保护、智能DNS解析、盗链保护、页面压缩、缓存加速和永久在线等服务。

【想看更多互联网新闻和深度报道请关注乐购网官方微信。(微信号:乐购网)】


  推荐阅读

  微软发布4月安全公告 电脑管家提醒及时修复

速途网讯 北京时间今日凌晨,微软发布了例行的安全公告。修复了IE浏览器、Windows系统内核、远程桌面客户端及Office软件等多个重要安全漏洞。与此同时,Adobe公司又借微软补丁日的东风,完成了4月Flash安全更新的首发>>>详细阅读


本文标题:360网站安全检测平台协助ShopEx修复高危漏洞

地址:http://www.lgo100.com/a/11/20130416/265256.html

乐购科技部分新闻及文章转载自互联网,供读者交流和学习,若有涉及作者版权等问题请及时与我们联系,以便更正、删除或按规定办理。感谢所有提供资讯的网站,欢迎各类媒体与乐购科技进行文章共享合作。

网友点评
我的评论: 人参与评论
验证码: 匿名回答
网友评论(点击查看更多条评论)
友情提示: 登录后发表评论,可以直接从评论中的用户名进入您的个人空间,让更多网友认识您。
自媒体专栏

评论

热度