dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
) Z/ l. M& W$ K7 z" ?
出现漏洞的两个文件为：
Include/payment/alipay.php
- k% j( p# A  Z7 c! h* o' C* A) XInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
( |6 g& ?6 G# q$ V+ V9 S
Include/payment/alipay.php
% Z4 k* I' `: g) M/ J  b
......
; @  W6 l7 n+ n% q( v) Z. h   function respond()
! K% r0 Q$ W4 m/ {" t) E    {
        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
            {
* F- y) R2 E0 V- h5 ^6 x# P  W                $_GET[$key] = $data;
            }
% S. E  M  Y% d8 w, j9 i$ D        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
: z5 Q) k. c  }( ?# u2 E......


0 r1 k* w1 A! o大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
9 \. L3 e( ]; {+ o- U) [2 J6 w
Include/payment/yeepay.php
( C- p( H2 y7 q3 ^; E/ ~) q

1 g/ e9 R4 i9 \4 L
0 s; ~$ ?" A6 k1 b3 [8 R......
    function respond()
3 r& y& a% T) I' n    {
0 }! {2 J  }9 O7 r6 n
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

! I; H+ q; Y" z8 x$ k/ I) k! O/ d        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......

& |3 D$ `/ R# N7 r
8 p& z/ V! m% K: B2 P+ N' W3 n

% X0 r7 H; G! _大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

& l+ f2 p% I& J! K  w4 ^这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

......
0 s/ x: n) l8 Y: y# o} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
1 L" ]0 W4 M3 S: B    {
        require_once DEDEINC.'/payment/'.$code.'.php';
% H  [) x5 Q7 p% X" c        $pay = new $code;
) d; N# W$ E( d8 E: z6 }5 \        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
. V' b1 |4 _( n}
......


; k* B- f2 A" T% Y& s

: Q" E& U& P( @/ B% O; h

: h! H4 t0 G, s5 w, l大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
. \, _8 G8 L% Y. z1 _1 S& q所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
! g: x) v5 d4 @+ ?
回到include/common.inc.php来看看他的机制。
  H2 E0 p" K9 X! ~% R; [

# A6 R8 `2 X* ^& I2 B
......
( T: r: K" b9 Oforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
3 D7 c0 e) s7 V        foreach($$_request as $_k => $_v)
! u  I: p2 m  w$ E# J8 J, n8 ~        {
% e8 v) K$ M, s, S* D6 o                if($_k == 'nvarname') ${$_k} = $_v;
; k9 ?0 }3 [, ?- F                else ${$_k} = _RunMagicQuotes($_v);
! b  M6 X3 J8 N1 E- U) L# H        }
}
......
# `0 K0 {. b+ x大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。