I'n Blog 之萬象真藏

By:Neeao[B.C.T]

漏洞預警中心小組應急事件響應公告

測試系統：
BBSXP2008 ACCESS版本 目前為最新版

安全綜述：
BBSXP為一款簡單的ASP+SQL與ACCESS開發的多風格論壇 目前最新版本為BBSXP2008
漏洞描述：
Manage.asp文件的ThreadID沒有經過任何過濾便放入SQL語句中執行 導致注射漏洞發生

漏洞代碼:
<%
if CookieUserName=empty then error("您還未<a href=""javascript:BBSXP_Modal.Open('Login.asp',380,170);"">登錄</a>論壇")

if Request_Method <> "POST" then error("<li>提交方式錯誤！</li><li>您本次使用的是"& Request_Method&"提交方式！</li>")

ForumID=RequestInt("ForumID")
ThreadID=Request("ThreadID") // 這裡不知道程序員是不是晚上床上勞累過度
If IsNumeric(ThreadID) then
ThreadID=int(ThreadID) //這裡雖然進行數字型判斷 但是我們有辦法直接跳出這裡 繼續執行下面的SQL語句
ForumID=Execute("Select ForumID From ["&TablePrefix&"Threads] where ThreadID="&ThreadID&"")(0)
End If
if BestRole<>1 then
Moderated=Execute("Select Moderated From ["&TablePrefix&"Forums] where ForumID="&ForumID&" ")(0)
%><!-- #include file="Utility/ForumPermissions.asp" --><%
end if
if BestRole=1 and ForumID<1 then
ForumIDSql=""
else
ForumIDSql=" and ForumID="&ForumID&""
end if
select case Request("menu")
case "Top"
if BestRole = 1 then
for each ho in Request("ThreadID")
ho=int(ho)
Execute("update ["&TablePrefix&"Threads] Set ThreadTop=2,StickyDate=DateAdd("&SqlChar&"yyyy"&SqlChar&", 3, "&SqlNowString&") where ThreadID="&ho&ForumIDSql&"")
next
succtitle="批量公告主題，主題ID："&Request("ThreadID")&""
else
error("您的權限不夠")
end if
case "UnTop"
if BestRole = 1 then
for each ho in Request("ThreadID")
ho=int(ho)
Execute("update ["&TablePrefix&"Threads] Set ThreadTop=0,StickyDate="&SqlNowString&" where ThreadID="&ho&ForumIDSql&"")
next
succtitle="批量取消公告，主題ID："&Request("ThreadID")&""
else
error("您的權限不夠")
end if
  ....這裡省略部分代碼
next
UpdateThreadStatic(ThreadID)
succtitle="批量刪除帖子，帖子ID："&Request.Form("PostID")&""
  
case "UnDelPost"
for each ho in Request.Form("PostID")
ho=int(ho)
Rs.open "select * from ["&TablePrefix&"Posts] where ThreadID="&ThreadID&" and PostID="&ho&"",Conn,1,3
if not Rs.eof then
Rs("Visible")=1
Rs.update
if Rs("ParentID")=0 then Execute("update ["&TablePrefix&"Threads] Set Visible=1 where ThreadID="&Rs("ThreadID")&"")
end if
Rs.close
next
UpdateThreadStatic(ThreadID)
succtitle="批量還原帖子，帖子ID："&Request.Form("PostID")&""
  
'''''''''''''''''''''''''''''''''''帖子管理 End''''''''''''''''''''''''''''''''''
end select
if succtitle="" then error("無效指令")

Log(""&succtitle&"")
Message="<li>"&succtitle&"</li>"
succeed Message,""
%>

第231行到第235行代碼如下
Rs.open "select * from ["&TablePrefix&"Posts] where ThreadID="&ThreadID&" and PostID="&ho&"",Conn,1,3
if not Rs.eof then
Rs("Visible")=2
Rs.update
if Rs("ParentID")=0 then Execute("update ["&TablePrefix&"Threads] Set Visible=2 where ThreadID="&Rs("ThreadID")&"")

可以看到ThreadID，沒有經過任何過濾變放入查詢 導致漏洞發生


測試方法：
可以看到文件頭限制了只能進行post提交方式，所以直接在IE進行測試是不允許的。使用WS抓包用NC提交就可以了。

資料來源 www.hackeroo.com