广州传奇网络

地址:广州市天河区东圃大马路富华楼C座

电话:13808825895

邮箱:gz020wbs@163.com

QQ:1564443073

网址:http://www.020wbs.com/

首页 > 二次开发Ecshop二次开发 > 改善addslashes_deep函数,封堵ECSHOP SQL 注入漏洞

二次开发Ecshop二次开发

二次开发Ecshop二次开发

改善addslashes_deep函数,封堵ECSHOP SQL 注入漏洞

问题说明:addslashes_deep函数未对数组的key进行过滤,经过特殊构造的传入参数可在SQL语句中执行。

修改文件:/includes/lib_base.php

修改函数:function addslashes_deep($data)

替换为:

 

function addslashes_deep($data)

{

if ( is_array($data) ) {

foreach ( (array) $data as $k => $v ) {

unset($data[$k]);

$k=addslashes( $k );

if ( is_array($v) )

$data[$k] = addslashes_deep( $v );

else

$data[$k] = addslashes( $v );

}

} else {

$data = addslashes( $data );

}

 

return $data;

}

 

适用版本:所有版本