前段時間在用ecshop建站的時候，360報警說出現了嚴重的漏洞：Ecshoppages.lbi.phpXss漏洞==============================我是分割線===========================

前段時間在用ecshop建站的時候，360報警說出現了嚴重的漏洞：

Ecshop pages.lbi.php Xss漏洞==============================我是分割線==================================

描述：

目標存在跨站腳本攻擊。

1.跨站腳本攻擊就是指惡意攻擊者向網頁中插入一段惡意代碼，當用戶瀏覽該網頁時，嵌入到網頁中的惡意代碼就會被執行。一般用來盜取瀏覽器cookie+ 展開

危害：

惡意用戶可以使用該漏洞來盜取用戶賬戶信息、模擬其他用戶身份登錄，更甚至可以修改網頁呈現給其他用戶的內容。 解決方案：

臨時解決方案：

1.使用360防護腳本==========================我是分割線=================================

于是用360防護腳本，但沒起到任何作用。于是只好自己動手。

先來分析這個漏洞的原因：

直接訪問temp/compiled/pages.lbi.php時，瀏覽源文件，會發現如下代碼：

顯然這個form是不完全的。當構造這樣的url訪問時，會造成在客戶端執行代碼：

temp/compiled/pages.lbi.php/"

很顯然，這個漏洞的原理就是閉合了這個form再在客戶端執行javascript.

然后分析出現不閉合form的原因，打開page.lbi.php文件，可以看到如下代碼

<?php if ($this->_var['pager']['styleid'] == 0): ?>

這里執行$this的時候就出現錯誤了，，因為沒有進行template的初始化。

既然找到原因了，下面給出解決辦法：

打開page.lbi文件，在第二行插入如下代碼：<?php

if (!defined('IN_ECS'))

{

die('Hacking attempt');

}

?>

再次測試，一切正常。

本文出自 “Peters” 博客，請務必保留此出處

總結

以上是生活随笔為你收集整理的ecshop pages.lbi.php,关于Ecshop pages.lbi.php Xss漏洞的修复的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。