2月24日消息，安全廠商近日發(fā)布漏洞修復(fù)報(bào)告稱，國(guó)內(nèi)團(tuán)購(gòu)常用的“最土團(tuán)購(gòu)程序”部分版本曝出SQL注入漏洞，可能導(dǎo)致大批團(tuán)購(gòu)網(wǎng)站被黑客拖庫(kù)，甚至泄露團(tuán)購(gòu)用戶的消費(fèi)憑據(jù)。
據(jù)悉，“最土團(tuán)購(gòu)程序”是免費(fèi)開源的團(tuán)購(gòu)系統(tǒng)平臺(tái)，覆蓋國(guó)內(nèi)千余家團(tuán)購(gòu)網(wǎng)站，包括不少知名大型團(tuán)購(gòu)網(wǎng)站。去年該程序的開發(fā)商“最土網(wǎng)”被美團(tuán)網(wǎng)收購(gòu)，目前仍為國(guó)內(nèi)中小型團(tuán)購(gòu)網(wǎng)站提供后臺(tái)程序支持。
近日，360網(wǎng)站安全檢測(cè)平臺(tái)發(fā)布漏洞修復(fù)報(bào)告指出，目前使用“最土團(tuán)購(gòu)程序”的網(wǎng)站中，有66%的團(tuán)購(gòu)網(wǎng)站存在該SQL注入漏洞，可能導(dǎo)致大批團(tuán)購(gòu)網(wǎng)站被黑客拖庫(kù)，甚至泄露團(tuán)購(gòu)用戶的消費(fèi)憑據(jù)。報(bào)告還稱，網(wǎng)上現(xiàn)已出現(xiàn)針對(duì)“最土團(tuán)購(gòu)程序”漏洞的黑客攻擊，甚至“最土”官網(wǎng)中的Demo(演示)站點(diǎn)也未能幸免。
360安全人士分析認(rèn)為，“這是一次比較典型、也是非常經(jīng)典的數(shù)組key變量污染漏洞。‘最土團(tuán)購(gòu)’建站程序的代碼中，由于函數(shù)的過(guò)濾不嚴(yán)格，導(dǎo)致了黑客可以通過(guò)提交惡意代碼，控制程序流程，來(lái)繞過(guò)登錄時(shí)的判斷，直接進(jìn)入網(wǎng)站后臺(tái)。”
上述安全人士稱，利用“最土團(tuán)購(gòu)程序”漏洞，黑客可篡改團(tuán)購(gòu)活動(dòng)、商品價(jià)格、訂單、退款、發(fā)貨記錄等重要數(shù)據(jù)，并拖庫(kù)竊取團(tuán)購(gòu)用戶的注冊(cè)郵箱和密碼。
截至目前，最土網(wǎng)尚未對(duì)此作出回應(yīng)，美團(tuán)網(wǎng)相關(guān)人員則表示正在了解情況。
推薦閱讀
善變的用戶 社交游戲90%曇花一現(xiàn) Zynga投靠騰訊征戰(zhàn)中國(guó)
“Zynga的《星佳城市》游戲注冊(cè)用戶超過(guò)1000萬(wàn)，活躍用戶超過(guò)了百萬(wàn)級(jí)。怎么可能排在騰訊空間游戲的后十名？”Zynga中國(guó)區(qū)總經(jīng)理田行智給鳳凰網(wǎng)科技演示《星佳城市》，并展示了騰訊空間的游戲排行榜，當(dāng)天的《星佳城>>>詳細(xì)閱讀
本文標(biāo)題：“最土團(tuán)購(gòu)程序”部分版本曝出SQL注入漏洞
地址：http://m.sh-jijian.com/a/guandian/yejie/20111230/165663.html
網(wǎng)友點(diǎn)評(píng)
精彩導(dǎo)讀
科技快報(bào)
品牌展示