近日，乌云漏洞平台爆料称ShopEx4.8.5版存在SQL注入漏洞（http://www.wooyun.org/bugs/wooyun-2010-08597），黑客利用该漏洞可获得网站管理员密码，进而控制网站服务器，窃取用户帐号密码（又称为“拖库”）。360网站安全检测平台发现，目前绝大多数ShopEx网站用户均存在该漏洞，主要为电子商务类网店。

　　360网站安全检测平台服务网址：http://webscan.360.cn

　　ShopEx是国内市场占有率最高的网店软件之一，众多知名商城网店、分销网站，以及品牌商城均使用ShopEx建站并进行管理。SQL注入则是最常见的网站高危漏洞，之前CSDN等网站泄密大多与SQL注入漏洞有关。黑客利用ShopEx的漏洞获取管理员MD5密码后，可碰撞破解获得原始密码，破解成功率一般在95%以上。

　　360网站安全检测平台分析认为，导致ShopExSQL注入漏洞的核心函数是：coremodel_v5tradingmdl.goods.php（图1）

　　图1：导致ShopEx存在SQL注入漏洞的核心函数

　　图2：函数被调用

　　（图2）中的函数在coreshopcontrollerctl.product.php文件中被调用。

　　由于漏洞影响用户众多，且对网站危害较大，所以360安全检测平台在第一时间向旗下用户发送了告警邮件，同时建议所有使用ShopEx用户立即下载安装官方提供的补丁进行修复，并定期使用360安全检测服务随时掌控网站安全状态。

　　ShopEx官方补丁下载地址：http://bbs.shopex.cn/read.php?tid-269636.html

　　关于360网站安全检测平台（服务网址：http://webscan.360.cn）

　　360网站安全检测平台是国内首个集网站漏洞检测、网站挂马监控、网站篡改监控于一体的免费检测平台，拥有全面的网站漏洞库及蜜罐集群检测系统，能够第一时间协助网站检测修复漏洞。2011年，360网站安全监测平台曾协同360团购导航，为国内数百家主流团购网站提供了免费网站漏洞检测服务并提供修复建议，提高了团购网站整体安全水平。文/IT技术网--www.17bianji.com)

　　推荐阅读

　　微软将于7月10日发布9个安全补丁

7月6日消息，据国外媒体报道，微软下周2将发布的7月份共计9个新的安全补丁，其中包括一个修复IE 9安全漏洞的严重等级的补丁。微软发布的9个安全补丁中有3个是严重等级的补丁，其余的6个是重要等级的安全补丁。这些补>>>详细阅读

本文标题：ShopEx曝SQL注入漏洞电商网站面临“拖库”威胁

地址：http://www.17bianji.com/anquan/buding/9207.html

 1/2    1