北京安域领创科技有限公司ш 域 Ӭॡ技 ஓҹ司 2 1.2 漏洞二：niushop b2b2c...

北京安域领创科技有限公司


安全服务通告

报告周期：2018 年 9 月第一周

（2018 年 09 月 03 日-2018 年 09 月 07 日）


目录

1 本周漏洞通告 ........................................................... 1

1.1 漏洞一：ECShop 全系列版本远程代码执行漏洞 ............................................... 1

1.2 漏洞二：NiuShop B2B2C 多商户商城系统前台存在文件上传漏洞 .................. 2

1.3 漏洞三：WordPress Gift Vouchers SQL 注入漏洞 ................................................ 2

1.4 漏洞四：PHP 云人才系统（phpyun）存在代码执行漏洞 ................................ 3

1.5 漏洞五：UKcms v1.1.7 以及之前版本存在文件上传漏洞 ................................. 4

1.6 漏洞六：UsualToolCMS 8.0.4 版本存在逻辑设计漏洞 ....................................... 5

1.7 漏洞七：ThinkCMF 任意文件删除漏洞 ............................................................... 5

1.8 漏洞八：北京一网天行科技有限公司建站系统 ne***.php 页面存在 SQL 注入

漏洞 6

2 本周病毒木马通告 .................................................... 7

2.1 本周流行病毒木马统计 ........................................................................................ 7

1. BlueHero（蠕虫病毒） ........................................................................................ 7

2.2 病毒木马防范措施 ................................................................................................ 8

3 安全事件通告 ........................................................... 9

3.1 本周国内外安全事件通告 .................................................................................... 9

3.1.1 韩国庆尚北道省将发行自己的加密货币，首次发行价值 9000 万美元 9

3.1.2 美媒：中国进一步抑制加密货币投机，但仍支持区块链 ................... 11

3.1.3 Chrome 浏览器诞生 10 年，谷歌居然想“灭掉”URL ....................... 13

3.1.4 网络安全最佳实践五大要素：定义、多样化、培训、责任与技术 ... 14

3.1.5 日本筑波市正在试验区块链在线投票系统 ........................................... 15


3.1.6 俄罗斯警告谷歌勿干预选举 ................................................................... 16

3.1.7 区块链成了黑客手里的屠龙刀？ ........................................................... 16


1

1 本周漏洞通告

1.1 漏洞一：ECShop 全系列版本远程代码执行漏洞

发布时间 2018-09-03

更新时间 2018-09-03

CNVD-ID CNVD-2018-17289

漏洞危害级别高危

影响产品上海商派网络科技有限公司 ECShop


2

1.2 漏洞二：NiuShop B2B2C 多商户商城系统前台存在文件上

传漏洞

发布时间 2018-09-04

更新时间 2018-09-04



影响产品

山西牛酷信息科技有限公司 B2B2C 多商户商城系统

V1.11

漏洞类型文件上传

漏洞描述

NiuShop B2B2C 多商户商城系统是由山西牛酷信息科技

有限公司完全自主设计、研发的一套 PHP 的开源电商系

统。

NiuShop B2B2C 多商户商城系统前台存在文件上传漏

洞。攻击者可通过在头像上传处上传木马文件从而获得网

站服务器控制权。

漏洞解决方案

厂商尚未提供漏洞修补方案，请关注厂商主页及时更新：

http://www.niushop.com.cn/

1.3 漏洞三：WordPress Gift Vouchers SQL 注入漏洞

发布时间 2018-09-04

更新时间 2018-09-04


3



漏洞类型 SQL 注入漏洞

影响产品 WordPress WordPress Gift Vouchers


4

漏洞描述

PHP 云人才系统（phpyun）是一个采用 PHP 和 MySQL

数据库构建的高效开源的人才与企业求职招、聘解决方案。

PHP 云人才系统（phpyun）存在代码执行漏洞。该漏洞

是由于配置文件写入过程中未对 POST 请求的 key 进行安

全性检验所致，攻击者可利用漏洞执行任意代码。

漏洞解决方案


https://www.phpyun.com/

1.5 漏洞五：UKcms v1.1.7 以及之前版本存在文件上传漏洞

发布时间 2018-09-08

更新时间 2018-09-08



漏洞类型文件上传漏洞

影响产品灵吉网络科技有限公司 UKcms


5

1.6 漏洞六：UsualToolCMS 8.0.4 版本存在逻辑设计漏洞

发布时间 2018-09-09

更新时间 2018-09-09


漏洞类型逻辑设计漏洞

漏洞危害级别中危

影响产品成都康菲顿特网络科技有限公司 UsualToolCMS 8.0.4

漏洞描述

UsualToolCMS 是一款企业级的网站内容管理系统，由

PHP+MYSQL 编写，使用模板分离技术，支持创建多种类

型的站点。

UsualToolCMS 8.0.4 版本存在逻辑设计漏洞。该漏洞是

由于在系统安装完成后未能自动删除安装文件，同时未能

生成 lock 文件来判断系统是否已被安装，攻击者可利用漏

洞重装系统。

漏洞解决方案


http://cms.usualtool.com/

1.7 漏洞七：ThinkCMF 任意文件删除漏洞

发布时间 2018-09-05

更新时间 2018-09-05



6

漏洞类型任意文件删除漏洞

漏洞危害级别中危

影响产品 ThinkCMF thinkcmf X2.2.3

漏洞描述

ThinkCMF 是一套基于 ThinkPHP 的 CMS（内容管理系

统）。

ThinkCMF X2.2.3 版本中的\application\User\Controll

er\ProfileController.class.php 文件的‘do_avatar’函

数存在任意文件删除漏洞。攻击者可借助带有‘..\’序列

的‘imgurl’参数利用该漏洞删除 Windows 服务器上的

任意文件。

漏洞解决方案

厂商尚未提供漏洞修复方案，请关注厂商主页更新：

https://www.thinkcmf.com/

1.8 漏洞八：北京一网天行科技有限公司建站系统 ne***.php

页面存在 SQL 注入漏洞

发布时间 2018-09-07

更新时间 2018-09-07


漏洞类型 SQL 注入漏洞


影响产品北京一网天行科技有限公司建站系统

漏洞描述北京一网天行科技有限公司是专门致力于为企业提供定制


7

化网站建设解决方案的互联网服务商。

北京一网天行科技有限公司建站系统 ne***.php 页面存在

SQL 注入漏洞。攻击者可利用漏洞获取数据库敏感信息。

漏洞解决方案


http://www.ewangtx.com/

2 本周病毒木马通告

2.1 本周流行病毒木马统计

1. BlueHero（蠕虫病毒）

病毒危险级别：

BlueHero 蠕虫病毒利用永恒之蓝漏洞在企业局域网内传播扩散，然后利用中毒电脑

组网挖矿。本周，监测数据表明，BlueHero 蠕虫病毒控制者再次升级了新的攻击手法：

利用 LNK 漏洞（CVE-2017-8464，也被称为震网三代）加速扩散。

LNK 漏洞（CVE-2017-8464）也被称为震网三代，攻击者可以构造特制的快捷方式文

件来执行远程代码攻击，此类攻击之前曾被用在 Stuxnet 软件（大名鼎鼎的“震网”病

毒，曾导致伊朗核设施严重损坏）中。将利用震网三代漏洞构造的 LNK 文件放到某个文

件夹，打开资源管理器，看一眼文件夹就会中毒，而无须双击运行。BlueHero 蠕虫变种

已经将 LNK 漏洞（CVE-2017-8464）利用也纳入了攻击武器库，震网三代+永恒之蓝漏洞

多重攻击组合，使该蠕虫病毒威力大增。


8

2.2 病毒木马防范措施

蠕虫病毒“BlueHero”在政府、企业、学校、医院等单位的局域网具有非常强的

传播能力。

针对出现的计算机病毒，我们可以采用以下的措施进行防护：

及时更新主机补丁，修复响应的高危漏洞；对重要的数据文件进行相应的备份，防

止各种原因的丢失损坏；不需要开共享权限的不开共享权限，关闭不必要的端口，尤其

是 445，135，139，3389 这种敏感端口；远程服务器服务尽可能使用高强度密码；对

没有互联需求的服务器/工作站内部访问设置相应控制。安装安全防护软件，获得端口

保护，定时检测病毒，清理病毒。

尽量关闭不必要的端口，减少病毒在局域网内扩散的通道。如：445、135，139

等，对 3389 端口可进行白名单配置，只允许白名单内的 IP 连接登陆。

尽量关闭不必要的文件共享，如有需要，请使用 ACL 和强密码保护来限制访问

权限，禁用对共享文件夹的匿名访问。

采用高强度的密码，避免使用弱口令密码，并定期更换密码。建议服务器密码

使用高强度且无规律密码，并且强制要求每个服务器使用不同密码管理。

对没有互联需求的服务器/工作站内部访问设置相应控制，避免可连外网服务器

被攻击后作为跳板进一步攻击其他服务器。


9

3 安全事件通告

3.1 本周国内外安全事件通告

3.1.1 韩国庆尚北道省将发行自己的加密货币，首次发

行价值 9000 万美元

据当地媒体报道，韩国东部的一个省份计划发行自己的加密货币，以取代其 9 个城

市的当地货币。一家交易所将专门负责此次发行。这些加密货币会在该省流通，商家可

以使用二维码使用这些货币。这让小编想起北宋交子刚开始发行时，有 16 家商户负责

印刷，只在四川省内流行。所以说，历史有时候可能以一种相似的方式出现呢。


10

韩国一省发行自己的加密货币

该省份为韩国的庆尚北道省。其实被替代的货币更准确的来说是一种城市发行的礼

券，庆尚北道省的 9 个城市已经分别发行了这种礼券，在该省选定的城市地区中使用。

这种城市礼券的使用范围不仅包括庆尚北道省的 9 个城市，全国共有 60 个这

样的城市使用。采取这种措施的意图也很有针对性即振兴当地经济，防止资本外逃。

其中，拥有 50 万居民的 Pohang（韩国最大的城市之一）是这种城市礼券的最

大的发行地区。据媒体报道，自去年 1 月以来，这座城市已经售出了 1000 亿韩元（约

合 9000 万美元）的 Pohang 礼品券。

据中央日报 8 月 27 日报道，该省科学技术政策部门宣布：

“为发行自己的加密货币，10 家银行，移动通信公司、大学研究

团队和庆尚北道省的政府官员将共同发力。”


11

Gyeongbuk 币

庆尚北道省发行的这一加密货币名为 Gyeongbuk，发行时间为明年上半年，首次发

行的数量将价值 1000 亿韩元，约合 9000 万美元。

该省科学技术政策部门负责人郑相贤表示：

“还有许多问题需要解决，比如通知商家使用加密货币的方式，创

建单独的程序，加密货币的发行等各个方面。”

庆尚北道最近向瑞士楚格州派出了一个基准测试团队。瑞士楚格州是欧洲的加密

谷，很多企业都在此地入住，比如 Shapeshift，Xapo 和以太坊基金会。该小组由 10 名

成员组成，其中包括一些外部专家，他们会见了一些政府官员和当地企业。

在一系列会议之后，Sedaily 引用庆尚北道官员的话说：“我认为我们可以利用通过

基准测试获得的经验，像 Zug 这样，为 5000 名 Gyeongbuk 省政府雇员制作身份证，作

为基于区块链的数字身份证。”

3.1.2 美媒：中国进一步抑制加密货币投机，但仍支持

区块链

据美国财经媒体 CNBC 报道，尽管在禁止首次代币发行（ICO）一年后，中国政府努

力抑制加密货币投机行为，但中国仍在支持发展基础区块链技术。区块链技术具有点对

点交易、分布式记账、区块信息广播等技术特性，能够有效提升交易的效率性和经济性，

一些投资者认为它能够像互联网一样改变世界，加密货币的交易价格一度大幅攀升，目

前，包括中国在内的政府机构和大公司正在测试这项技术。


12

资料图：比特币网络数据（via Matthäus Wander / 维基百科）

根据上周公布的估计数字，自 2016 年以来，中国政府对基础区块链技术的投资约

为 35.7 亿美元。

杭州、上海和南京等一些地方政府已经宣布参与区块链投资。8 月 28 日据新闻

SupChina 上发布的统计数字，自 2016 年以来，各地政府的区块链投资总量约为 35.7 亿

美元。

中国过去一直是比特币交易的“领头羊”，但是，随着监管审查的强化，尤其是随

着比特币价格攀升，去年 9 月初，中国央行和其它金融机构宣布禁止通过所谓的国际投

资组织销售新的加密货币，北京还有效禁止了国内比特币和人民币间的交易。

而在过去几周内，中国进一步限制国内加密货币活动。

8 月 17 日，北京市朝阳区发布了一项禁令，禁止在购物区、酒店和办公楼举办密

码货币促销活动。据媒体上周报道，广州南部的一个经济特区也宣布了类似禁令。

8 月 24 日，中国多个政府机构联合发布了关于非法集资风险的警告。声明还对那

些使用海外服务器瞄准中国投资者的人发出警示。


13

就在同一天，宣布，将禁止通过微信支付进行与加密货币相关的交易。腾讯在向

CNBC 发表的一份声明中称，该公司还封锁了一些官方微信账户，因为这些账户发布了

有关 ICO 和加密货币交易的信息，违反了政府关于即时通讯服务的政策。

在此情况下，中国的一些区块链项目将公司总部迁往海外，而内地的发展仍在继续，

比特币可以通过场外交易市场用人民币购买。

HCM Capital 董事总经理李仁杰（Jack Lee）表示，中国政府希望保持金融稳定，并

将对面向普通民众的募集资金活动加以规范。该公司是许多区块链项目的投资者，也是

中国最著名的苹果 iPhone 制造商富士康公司（Foxconn）的私募分支。

李仁杰指出，HCM 并不期望监管者放松对加密货币投资的限制，尽管政府已经接

受区块链技术。

同时，在去年年底和今年年初的高峰期过后，加密货币价格大幅下降，但区块链领

域的私人投资始终保持稳定，业内人士对前景依然乐观。

根据 CoinDesk 的比特币价格指数，比特币对美元的价格上个月下跌了 9%，纽约时

间上周日晚间的价格接近 7300 美元，而在 8 月份曾一度跌至 6000 美元以下低点。

3.1.3 Chrome 浏览器诞生 10 年，谷歌居然想“灭掉”

URL

刚刚度过 20 岁生日的 Google 又迎来了新的里程碑，旗下的 Chrome 浏览器也

10 岁了，Chrome 团队在成军十年这个节骨眼上又准备玩票大的，他们要重新思考 URL

的地位。

URL 是 Uniform Resource Locators（意为统一资源定位器）的全称，与我们每天都

要使用的网址密切相关。复杂且含混不清的 URL 给了网络罪犯可乘之机。网络罪犯会


14

假冒合法机构，在网上“钓鱼”，搞虚假网络服务或者盗窃他人敏感数据。除了网民警

惕性差这一点，Chrome 团队认为 URL 也有责任，因为用户很难通过这一连串数字知

道他们到底在和谁打交道， URL 中哪部分可信。因此，URL 需要来一次变革，但并不

是颠覆 URL。，或许只是 Chrome 展示 URL 的方式和时间会发生巨变。

Chrome 团队认为，URL 已经不是网站身份的最佳搬运工了，他们想让所有人都看

得懂网络身份，用户使用网络时知道自己在和谁交流，了解谁值得信任。

Chrome 团队在 2014 年时，就尝试了一个名为“起源碎片”的格式化功能，浏览

器会只显示出网站主域名，以帮助用户了解他们到底在浏览什么网站。如果用户想看到

完整的 URL，只需点击“碎片”就行。

3.1.4 网络安全最佳实践五大要素：定义、多样化、培

训、责任与技术

网络安全并非纯粹的技术问题，它还涉及商业问题。护航网络安全，企业应关注网

络安全最佳实践的五大要素：

一、拓宽网络安全定义，了解网络安全不仅是技术问题，其还涉及管理和运营问题；

二、网络安全涉及人为因素，这是网络安全链中的重要问题，因此需要在思维过程

中实现多样化，将不同类型的人纳入网络安全讨论；

三、企业还应当重视网络安全培训；

四、责任也是确保网络安全不可或缺的一部分；

五、利用人工智能（AI）等新兴技术防范网络攻击。


15

3.1.5 日本筑波市正在试验区块链在线投票系统

日本筑波市政府已成为批测试基于区块链的投票系统的国家机构之一，日本测试的

这个系统主要是让居民投票选择城市发展项目。据日本时报报道，筑波政府，一个从

20 世纪 60 年代以来一直以科学发展而闻名的城市，于 8 月 28 日完成了一个区块链项

目的测试，参与投票的总共由 119 票。

这项技术被用于从基于政府的技术应用(包括物联网和人工智能)中选择所谓的社会

贡献项目。

这项技术主要是用于选出对于社会具有贡献意义的项目，主要面向的是基于政府网

站的技术应用(包括物联网和人工智能)等。

报告称，该系统将身份验证机与去中心网络集成在一起。在把身份证放在机器上进

行身份核实后，选民们就可以选择他们喜欢的方案。该系统通过防篡改的分布式网络对

选票数据进行加密和存储。

筑波市长伊加林也通过选举系统参与投票，他表示：“我原以为这个流程操作起来

会很复杂，但是我发现比我想象中简单很多。”


16

如果申请在经过进一步审查后获得成功，当地政府预计将把这项区块链投票系统的

服务扩大到生活在山区、偏远岛屿甚至推广到国外。

这次测试是各国政府利用分布式账本技术进行投票和确保选票安全的最新实例。

CoinDesk 先前也报道过，美国西弗吉尼亚州也将在全州采用基于区块链技术，帮助

海外军队在 11 月的选举中进行远程投票。

3.1.6 俄罗斯警告谷歌勿干预选举

俄罗斯定于 9 月 9 日举行地方选举。近日，在谷歌旗下的社交网站“优兔”上出现

有关鼓动民众在选举当天举行抗议等活动的广告。俄罗斯联邦电信、信息技术和大众传

媒监管局副局长苏博京说，“优兔”上有几十个频道持续鼓动用户违法。一些有意破坏

俄局势的人正试图利用谷歌等外国互联网巨头提供的渠道，吸引用户从事非法活动。

按照俄罗斯相关法律，通过任何形式干预俄选举的行为都不可接受，且被视为违法。

据俄新社报道，俄中央选举委员会成员克柳金 9 月 4 日早些时候表示，已致信谷歌公司，

提醒其传播有关鼓动民众在选举日举行非法群众活动的信息的行为违法。据俄新社报

道，谷歌公司当天晚些时候回应称，将考虑俄政府部门的所有合理要求，但不会评论个

别情况。

3.1.7 区块链成了黑客手里的屠龙刀？

题记：最近几天的新闻，不管滴滴、华住，都敌不过京东的猛。危机问题，总是用一个

新闻盖过一个新闻来解决。相比前面爆炸性新闻，作为次一级的大新闻，则是十天前，

区块链微信公众号众多大咖集体被封事件，官方回应称，他们是因涉嫌 ICO 虚拟货币炒

作，违反有关规定而被封停。区块链究竟何错之有呢？区块链本身是一种技术，无所谓


17

好与坏，可是有的人却将他带偏带变形。

2017 年，执法部门对 AlphaBay 以及 Hansa 的关停举措引发人们对于暗网市场前景

的大量猜测。事实上，对环境的恐惧和不信任感正促使网络犯罪分子采用替代技术来提

高安全性，从而确保自身在开展网络违法行为时能够躲避执法人员的检测。区块链技术，

似乎有望帮助其达成目的。

大多数人在听到“区块链”一词时，首先想到的往往是加密货币及相关应用方向—

其用户群体中发生的交易与交互必须以高度信任、透明以及高效的方式来执行。然而，

如果着眼于网络犯罪论坛管理员目前面临的困境，我们就会发现他们也是区块链技术的

理想受众群体。为此，一部分网络犯罪分子已经开始尝试利用区块链域名系统（简称

DNS）隐藏其恶意活动。

区块链 DNS vs. 传统的 DNS

区块链 DNS 与传统 DNS 有所不同。一般来讲，当我们将网站地址输入互联网浏览

器时，计算机将向 DNS 服务器查询对应的 IP 地址。从本质上讲，DNS 相当于互联网版

本的电话簿，其中包含实体名称、“点”、以及名为顶级域名（TLD）的扩展名，其可

以是.com、.gov、.edu、.uk 以及.de 等后缀。TLD 由权威机构控制，例如具有全球影响

力的互联网名称与数字地址分配机构（简称 ICANN），或者英国的 Nominet 以及德国的

DENIC 等区域性机构。相比之下，区块链 DNS 则是一种去中心化 DNS。区块链 TLD——

包括.bit、.bazar 以及.coin 等——并不隶属于单一的权威机构。DNS 会查询由对等网络

所共享的 IP 地址表，同时使用一种区别于传统 DNS 请求的技术方法。

去中心化 DNS 拥有多种优势，包括抵御执法当局的审查（例如，政府可能要求国内

所有互联网服务供应商停止将域名重定向至相关 IP 地址），或者防止 DNS 欺诈（攻击

者可以插入伪造的 DNS 数据以确保名称服务器返回错误的 IP 地址，并将流量重定向至


18

攻击者指定的计算机处）。然而，去中心化 DNS 也可能遭到恶意攻击者的滥用。由于区

块链域名不存在中心权限，因此注册只包含唯一的加密哈希值，而非站点名称与地址。

这意味着执法部门将更难以对不法网站进行清除。以下是恶意人士利用区块链技术的几

个具体实例。

恶意利用区块链 DNS 的实例

早在 2016 年 1 月，就出现了 The Money Team 等首批利用区块链 DNS 创建.bazar 域

名以保护自身犯罪行为的组织。2017 年 7 月，Joker’s Stash 这一流行自动贩售车（简

称 AVC）网站开始利用区块链 DNS 以及原有 Tor（.onion）域名保护其销售被盗支付卡信

息的行为。要访问.bazar 版本的网站，用户需要安装区块链 DNS 浏览器扩展或者插件。

与此同时，其它不少 AVC 网站及论坛也在尝试利用对等 DNS 技术交易被盗账户信息。

区块链技术还允许用户为在线市场构建替代模型。例如，名为 Tralfamadore 的站点

就利用区块链作为后端来存储必要的数据库和代码，以支持前端用户界面。交易活动通

过加密货币进行，并被记录为区块链上的智能合约。此举是为了提高网站用户间的信任

度，所有交易信息都将被永久记录，这意味着买家更易识别欺诈分子。

OpenBazaar 网站是另一个使用区块链技术的市场。该项目于 2016 年 4 月正式上线，

此后用户群体就在稳步增长。到 2018 年上半年，该网站的新用户增加了约 4000 名，而

在售商品数量则由 18000 增加至超过 27000 多个。尽管取得了快速发展，但 OpenBazaar

的主体并不属于网络犯罪平台，其在售的大多数商品并不违法。

网络犯罪花样翻新快，网络人员应持续关注

尽管出现上述实例，但需要强调的是，任何事情都需要加以权衡，区块链技术在网

络犯罪活动中的运用亦是如此。目前，区块链难以得到更广泛普及的原因在于，利用基

于区块链的平台会导致所有交互皆以公开方式进行记录，这违背了不少用户保护自我隐


19

私的强烈意愿。因此，相当一部分网络犯罪分子选择将其业务从暗网市场与地下论坛中

分离出来，利用自己的站点来宣传服务，而后将用户引导至 Jabber、Internet Relay Chat

（简称 IRC）、Skype、Discord 以及 Telegram 等频道中进一步开展业务交流。买家能够

直接通过对等网络及个人聊天频道与卖家取得联系，并使用加密货币或者电子支付服务

完成交易。

网络安全专业人士应当继续关注利用区块链技术买卖非法商品的情况。在此期间，

网安从业人员还应不断评估可用于恶意目的的其它新兴技术。因为只要存在可供网络犯

罪分子利用的销售市场，包括出售被盗账户、支付卡信息乃至假冒商品等市场，他们就

一定会找到新的、具有创造性的牟利方式。

北京安域领创科技有限公司ш 域 Ӭॡ技 ஓҹ司 2 1.2 漏洞二：niushop b2b2c...

Documents