漏洞预警：ecshop 7号补丁再次出现隐蔽后门分析

发表评论
620 次浏览

A+

显示不全请点击全屏阅读

我到官网去看了下，目前官网已经取消该补丁下载

ecshop被收购后，就不知道是怎么了

2013年5月7号更新的7号补丁，但是下载下来后，我发现明显不对。
第一，includes目录里面多了个install文件夹，原来是没有这个文件夹的，并且里面全是js（最后发现这个目录根本没用到，骇客大哥你做事情能仔细点不）
第二，admin/js目录里面全部js都上来了（后面通过文件比较发现只有一个文件有修改）

好了，我们要分析下这位骇客大哥干的“好事”。

首先，他修改了includes\lib_base.php文件的write_static_cache函数

把原来的：

function write_static_cache($cache_name, $caches)
{
    if ((DEBUG_MODE & 2) == 2)
    {
        return false;
    }
    $cache_file_path = ROOT_PATH . '/temp/static_caches/' . $cache_name . '.php';
    $content = "<?php\r\n";
    $content .= "\$data = " . var_export($caches, true) . ";\r\n";
    $content .= "?>";
    file_put_contents($cache_file_path, $content, LOCK_EX);
}

修改成了：

function write_static_cache($cache_name, $caches)
{
	if(empty($caches))
	{
		if ((DEBUG_MODE & 2) == 2)
		{
			return false;
		}
		$cache_file_path = ROOT_PATH . '/temp/static_caches/' . $cache_name . '.php';
		$content = "<?php\r\n";
		$content .= "\$data = " . var_export($caches, true) . ";\r\n";
		$content .= "?>";
		file_put_contents($cache_file_path, $content, LOCK_EX);
	}
	else
	{
		file_put_contents($newfile, $newname);
	}
}

很明显这个为了写文件，这位大哥的毛病又犯了，不知道大哥用的什么编辑器，修改后文件编码从utf-8变成了utf-8+