日前，第三方漏洞报告平台乌云曝出国内知名网店系统ECShop GBK版本存在高危SQL注入漏洞，黑客利用此漏洞可获得管理员账号密码，窃取网站数据。
ECShop是一款基于PHP+MySQL开发的B2C网店系统，大量企业及个人用都在用它建立网上商店。
目前使用ECShop GBK版本的所有网站，都存在这一SQL注入漏洞，漏洞的文件为user.php。
漏洞成因在于user.php文件会直接带入SQL语句操作数据库的用户可控变量。由于ECShop GBK版本采用GBK编码(宽字符编码)，攻击者可通过传入半个字符的方式绕过对单引号的转义，故而导致可执行任意构造的SQL注入语句。此外，程序对magic_quotes_gpc是否开启也做出了判断，攻击者可利用相同注入语句进行注入，并通过MD5解密工具对MD5密文进行破解得到明文账号密码，从而窃取网站任意数据。
漏洞原因在于user.php文件会直接带入SQL语句操作数据库的用户可控变量。由于该版本采用GBK编码(宽字符编码)，攻击者可通过传入半个字符的方式绕过对单引号的转义，故而导致可执行任意构造的SQL注入语句。此外，程序对magic_quotes_gpc是否开启也做出了判断，攻击者可利用相同注入语句进行注入，并通过MD5解密工具对MD5密文进行破解得到明文账号密码，从而窃取网站任意数据。
截止目前，ECSHOP官方尚未发布任何补丁，不过用户可以使用“护卫神·入侵防护系统”的SQL防注入模块解决该问题。
