360shop，最新版淘店通2代某处SQL注入
360shop 最新版，淘店通2代，在添加收货地址时，选择省份和城市处存在SQL注入。
测试站点为官方最新版演示站：
http://zhangheng.v2.taodiantong.cn
测试了官方案例，老版也存在同样注入。
第一步，我们注册一个用户，添加收货地址：
第二步，在地区处，选择省份时，抓包：
在如图参数处存在注入，从图中看出明显存在sql注入。
由于官方演示站是mysql4的环境，报错注入都无法进行了。只能进行猜解。。。
如下证明：
xajaxargs[]=2 rlike if(2=1,2,0x28)，这里是错误的语句，返回mysql错误信息。
输入xajaxargs[]=2 rlike if(2=2,2,0x28)，正确的语句，返回正常：
修补漏洞的方法大家都知道,过滤!!