ecshop支付宝注入漏洞分析

360独家原创，发现到支付宝漏洞，马上铺天盖地，到处都在宣传，可谓360的营销策略很彪悍。这里ecshop模板网告诫大家， 发现漏洞，不用多担心！采用ecshop我们独立开发的防注入系统，出现漏洞也不怕。 目前所有商业整站，全部都已升级上防注入功能。

这里总结下该漏洞。因为缝隙源于ecshop的付出宝付出插件，一切使用条件是站点装置此插件，使用不受GPC影响。缝隙中心代码在\includes\modules\payment\alipay.php 文件 respond()函数，第215行。

function respond()    {

        if (!empty($_POST))

        {

            foreach($_POST as $key => $data)

            {

                $_GET[$key] = $data;

            }

        }

        $payment  = get_payment($_GET['code']);

        $seller_email = rawurldecode($_GET['seller_email']);

        $order_sn = str_replace($_GET['subject'], '', $_GET['out_trade_no']);

        $order_sn = trim($order_sn);          

        /* 检查支付的金额是否相符 */

        if (!check_money($order_sn, $_GET['total_fee']))

        {