ASP CMS的漏洞漏洞，说白了就是漏洞一套老代码在新环境里水土不服的典型样本。这套系统在国内中小型站点里躺了十几年，漏洞SQL注入和文件上传漏洞像牛皮癣一样反复发作。漏洞

拿最经典的漏洞注入点说事。`/inc/AspCms_Class.asp`里那个`GetList`函数，漏洞直接把`Page`参数拼进SQL语句。漏洞攻击者构造`/list.asp?漏洞page=1%20and%201=2%20union%20select...`，数据库就乖乖吐数据。漏洞我见过最狠的漏洞一次，对方直接拖走了整张`aspcms_admin`表，漏洞后台密码是漏洞MD5未加盐的，跑个彩虹表几秒钟就出明文。漏洞

文件上传漏洞更离谱。漏洞后台编辑器那个`UploadFile`接口，漏洞只检查了`Content-Type`头，压根不看文件真实内容。抓包改个`application/octet-stream`就能传`asp`马。有个朋友的公司站点就这么被搞了，黑客上传了个`shell.asp`，权限直接飙到`IIS_APPPOOL`，整个服务器成了肉鸡。后来查日志，发现这漏洞挂了整整两年没人管。

官方补丁出过几版，但治标不治本。2019年修了`/inc/AspCms_IncFunc.asp`里的SQL注入，可没过半年，`/plus/ajax.asp`又冒出个新的注入点。这套代码的架构本身就带着病根——所有参数过滤靠一个`SafeRequest`函数，但总有漏网之鱼绕过正则黑名单。

更麻烦的是，很多站点把后台路径改成`/admin888`就以为安全了，其实扫描器扫`/inc/aspcms_common.asp`的报错信息就能反推真实路径。我测试过一批站点，大概30%的还在用2015年前的版本，连`/inc/AspCms_MainClass.asp`的`strFileName`参数过滤都没打过补丁。

说实话，这系统现在还在维护，但开发团队的精力明显放在商业版上。免费版用户只能自己扛，要么装个Web应用防火墙硬顶，要么干脆换WordPress。有个站长跟我吐槽，他花了两天时间把全站静态化了，就为了躲开动态接口的坑。

漏洞的本质不是代码缺陷，是没人愿意为老系统持续投入安全成本。ASP CMS的案例放在今天依然有参考价值——任何用`Response.Write`拼接SQL的古老习惯，迟早要还债。

(责任编辑：探索)