《发掘 CMS001 程序漏洞》.pdfVIP

2008 年第10 期 前置知识：ASP 关键词：脚本、CMS001、文件上传漏洞 发掘CMS001 程序漏洞 文/ 图 梦幻剑客 最近在学习.net 程序设计，既然是学习，当然少不了源代码了。到中国站长下载了几 套.net 源码，无意间看到ASP 源码中有套刚推出的CMS001 程序，下载回本地看了看代码， 发现存在几个安全漏洞，在这里和大家共同分享一下。 注入漏洞 本程序前台页面是用标签调用的。ASP 程序写在外部程序中，通过调用标签来显示， 所以本程序大部分页面还是安全的。不过有几个页面没有调用标签，同时也没有过滤非法字 符，导致存在SQL 注入。typeclass.asp 文件中的漏洞代码如下： % 线 dim content,template_content,Templatepath,myclass,pageid,id classid=trim(request.querystring(classid)) 栏目编号 id=trim(request.QueryString(id)) 处 防 pageid=trim(request.QueryString(pageid)) „„ 客 出 if isnumeric(id) then myclass.auto_id=id Templatepath=myclass.getTemplatePath(classid,Content_Template)模板路径 黑 明 else Templatepath=myclass.getTemplatePath(classid,Index_Template)模板路径 end if 注 „„ % 请 这段代码中，classid、id、pageid 用get 方式获取外部变量，id 变量获取后，在if 语句 中被 isnumeric 函数过滤，不存在注入 ，而 pageid 没有参与查询。在 “ 载 Templatepath=myclass.getTemplatePath(classid,Content_Template) ”中，是 classid 变量参 与查询标签模板调用的。在 Parser_Loop.asp 文件中找到getTemplatePath 函数，函数定义代 码如下： 转 public Function getTemplatePath(classid,Template_Type) dim sql,rs,t_path,t_classname sql=select SiteDir,Template_Dir,Template_FileName from Template where ID=(select Template_Type from ClassTypes where classid=classid) set rs=server.createobject(ADODB.recordset) rs.open sql,conn,1,1 „„ end Function 2008 年第10 期 代码中定义了全局变量getTemplatePath ，在外部获取的classid 变量参与了SQL 语句查 询，这就是注入的关键所在。分别提交“and 1=1 ”和“and 1=2 ”，得到不同的返回结果，说 明 存 在 注 入 。 既 然 是