Virtual Programming VP-ASP Shopping Cart Shop$DB.ASP跨站脚本漏洞

发布日期：2004-06-12
更新日期：2004-06-17

受影响系统：

Virtual Programming VP-ASP 5.0
Virtual Programming VP-ASP 4.50
Virtual Programming VP-ASP 4.0
- Microsoft Windows XP Professional
- Microsoft Windows XP Home
- Microsoft Windows NT 4.0 SP6a
- Microsoft Windows NT 4.0 SP6
- Microsoft Windows NT 4.0 SP5
- Microsoft Windows NT 4.0 SP4
- Microsoft Windows NT 4.0 SP3
- Microsoft Windows NT 4.0 SP2
- Microsoft Windows NT 4.0 SP1
- Microsoft Windows NT 4.0
- Microsoft Windows 98
- Microsoft Windows 95
- Microsoft Windows 2000 Server SP2
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server
- Microsoft Windows 2000 Professional SP2
- Microsoft Windows 2000 Professional SP1
- Microsoft Windows 2000 Professional
- Microsoft Windows 2000 Datacenter Server SP2
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server

描述：

---

BUGTRAQ ID: 10530
CVE(CAN) ID: CVE-2004-2411

Virtual Programming VP-ASP是一款商业性质的电子购物应用系统，由ASP脚本编写。

Virtual Programming VP-ASP的登录脚本对用户提交的输入没有很好的过滤，远程攻击者可以利用这个漏洞进行跨站脚本攻击，获得敏感信息。

问题存在于Shop$DB.ASP脚本上，对用户提交的恶意HTML或Javascript脚本数据缺少过滤，当其他用户查看恶意链接时，恶意代码可在用户浏览器上执行，导致基于COOKIE的信息泄露。

<*来源：Thomas Ryan （tommy@providesecurity.com）

链接：http://www.vpasp.com/virtprog/info/faq_securityfixes.htm
*>

建议：

---

厂商补丁：

Virtual Programming
-------------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

编辑shop$db.asp文件，在如下代码段前增加'rc=instr(lmsg, "=")'：

Sub CleanseMessage (msg, rc)
dim lmsg, pos
lmsg=lcase(msg)
pos=instr(lmsg, "<script>")
If pos> 0 then
rc=4
else
rc=0
rc=instr(lmsg, "=")
end if
end sub

具体信息可参看如下：

http://www.vpasp.com/virtprog/info/faq_securityfixes.htm

文章整理：西部数码--专业提供域名注册、虚拟主机服务
http://www.west263.com
以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!