中国网络渗透测试联盟
标题:
织梦(Dedecms)V5.X 本地文件包含漏洞
[打印本页]
作者:
admin
时间:
2013-4-4 17:36
标题:
织梦(Dedecms)V5.X 本地文件包含漏洞
漏洞版本:
6 M0 m9 W/ Z# m" A5 A
DedeCms 5.x漏洞描述:
! e. {3 v& [) A
DedeCms是免费的PHP网站内容管理系统。
6 V% ?6 n @+ v
, x ~' B$ ]! |/ l
plus/carbuyaction.php里没有对变量进行严格的过滤
1 x7 j$ A5 b% y. @" t2 ^
$ ^2 G; ^" M9 G3 x+ j' c
出现漏洞的两个文件为：
/ H0 R; E( u2 q7 U: m5 Y* y
Include/payment/alipay.php
3 ~6 Y0 [7 P* ?, W$ x0 j
Include/payment/yeepay.php
' I6 I# T" l3 j2 V
漏洞均出现在respond方法里
) \$ H( A9 _% O4 L
0 a, @& Q4 u) \# |' G# U" |
Include/payment/alipay.php
( j3 h: L: F* J& k5 Z
......function respond(){if (!empty($_POST)){foreach($_POST as $key => $data){$_GET[$key] = $data;}}/* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';......
4 B9 K |, X" M" y1 _
7 p: ^# x0 j0 [7 b5 E6 Q# f8 j/ s- F
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
7 g# k. R6 J1 \7 _4 p# B N+ ]$ w
Include/payment/yeepay.php
* u" z V. T( L, I: N9 N8 b* P9 i
......function respond(){ /* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php'; $p1_MerId = trim($payment['yp_account']);$merchantKey = trim($payment['yp_key']);......
$ r: f' q& B' G' d
- Y% S- F/ ^" v z! ^( E
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。<* 参考
& Q y, ?' g7 V4 |+ ], x% O
http://bugscan.net/manage/node/83
+ B# Y) W9 E- Y6 S: q5 D
http://www.cnseay.com/2515/
1 K& R+ V9 |0 v/ J- f
*>
6 N/ o, c0 ?% C
测试方法:
! f4 i* n4 w5 S5 \9 h
1.
http://www.dedecms.com/plus/carb ... amp;code=../../tags
上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断， 使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie
+ O6 ^+ X3 ~& _3 u. p* ?) V
2.由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径
1 l F. N, C" u8 T6 C* \: r
修复方法:
% k3 Q# A j9 y, c6 }5 I
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
: f% }0 h2 ^# ]9 G+ L, f
http://www.dedecms.com/products/dedecms/
( A( A' S, K8 M4 v3 g5 p) Z8 K
; G: i& H, q5 n
临时修复：
. a% y# i/ {8 \* M8 K
1)Include/payment/alipay.php
+ X; c+ ]; B% [; K" H
大概133行左右
: O% _! v$ }* k8 J
require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
% |4 w% v% K( P" L2 F, W7 l
替换
6 x, c0 @/ e6 e. L
require_once DEDEDATA.'/payment/'.basename($_GET['code']).'.php';
6 S" { ~ k, S- J
2) Include/payment/yeepay.php
6 v, J- i' v u `& ]* @: @
大概在145行左右
( E6 `1 X# V" I
require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
- ]1 ?8 [( Y u- k7 ~2 u a
替换
$ V3 V( ?0 H. F
require_once DEDEDATA.'/payment/'.basename($_REQUEST['code']).'.php';
) n" w0 `) `9 P& a) x2 Z
H/ F. [' _/ r1 F8 }
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2