如何防止ecshop商城模板内被挂马

更新时间:2016-08-10 点击量:787

ecshop模板是支持php代码的,这个给一些不法分子创造了挂马的机会,这些不法分子挂马步骤很可能是:


1,通过ecshop漏洞搞sql注入,暴出管理员密码md5值,然后通过**md5得到管理密码。(注:防止暴出管理密码md5值的方法是关闭display_errors,并且修改cls_mysql.php里的ErrorMsg函数,注释掉所有错误输出代码或把错误写入文件

2,进入管理后台,通过模板管理-》库项目管理,编辑lbi文件,添加php代码,例如<?php @eval($_POST['lx']);?>

3,到这里,就完全控制这个站了,想挂什么马就挂什么马。

可见,ecshop模板支持php代码这点是非常危险的,因此我们应该过滤模板里的所有php代码。

方法:
1,修改cls_templage.php文件,添加函数:

  1. function delete_php_code($content)

  2. {

  3. if(!empty($content))

  4. {

  5. $pattern='/\<\?(.|\r\n|\s)*\?\>/U';

  6.  

  7. return preg_replace($pattern,'',$content);

  8. }

  9. }

复制代码


2,第165行$out = $this->_eval($this->fetch_str(file_get_contents($filename)));修改为:
$out = $this->_eval($this->fetch_str($this->delete_php_code(file_get_contents($filename))));
3,第260行$source = $this->fetch_str(file_get_contents($filename));修改为:
$source = $this->fetch_str($this->delete_php_code(file_get_contents($filename)));

这样,模板里的php代码就被过滤掉了。


更多ecshop教程登录优易软件 http://www.uuecs.com


支付宝扫码打赏 微信打赏

如果文章对您有帮助,就打赏一个吧

在线客服

客户服务

热线电话:

0755-36656507 15889489919 服务时间:

周一到周六:9:00-18:00

在线QQ客服

在线微信客服

关于我们 常见问题

支付方式 加盟合作

提交需求
优惠红包 购物车0 反馈留言 返回顶部