网趣网上购物多用户时尚版最新版本存在漏洞及修复 -电脑资料

    程序：网趣网上购物系统多用户时尚版 Build 101101

    下载: http:///ym/201011/24548.html

    /admin/listshj.asp?id=4567 丢到啊D里就能跑出来

    listshj.asp未作验证，其中

    <%dim shjiaid

    shjiaid=request.querystring("id")

    set rs=server.createobject("adodb.recordset")

    rs.open "select * from [shjia] where shjiaid="&shjiaid ,conn,1,1%>

    ID未作过滤，注入产生，直接丢到啊D里就行了，让工具自动吧

    至于后面的id值是4567，是系统自带的商家的ID数值

    至于自己注册的商家的ID数值，我没找到，汗了，

网趣网上购物多用户时尚版最新版本存在漏洞及修复

电脑资料

    更夸张的是，直接打开这个网址，其中竟然还能上传，一看，晕了，竟然还有存在上传漏洞，以前的版本都不存在，怎么最新的版本倒是存在了。。。

    upload.asp?formname=userinfo&editname=logo&uppath=upfile&filelx=jpg

    /admin/review.asp

    这个文件也存在漏洞，网上查了下，有人公布过了

    修复：不用说了，老问题了