dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

: @7 o( _% p9 F7 f0 G2 r出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
3 U+ s5 w. Q2 D8 ]漏洞均出现在respond方法里，估计这两个文件是临时工写的。

! l, V8 a0 G* a( g8 WInclude/payment/alipay.php
' D" u) e; I0 q9 y
# Q5 h1 k$ P3 P, t9 {* }......
+ F( X, |/ V+ m   function respond()
  K! k: ]0 t( I# @( ~$ |6 e    {
        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
            {
( {  Y! }7 ~7 u( T4 N  v, S3 h7 l                $_GET[$key] = $data;
            }
        }
6 N$ E  [" m4 M$ A$ [% y( F        /* 引入配置文件 */
' {# _2 M2 K3 @9 T& a" \- o( s        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
- D$ I' M. |; U; C& l' e2 Z" A) y+ e, Y......
6 I4 K& |- P- G& u

" r/ H+ S4 J" L) s8 L& l6 M大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php
2 a4 }0 G8 M$ @  H

2 E- T: a: ?/ |+ P# s
! Z3 [& y# }' D8 C: J: M......
9 [: Y1 [6 N. k0 l1 \6 r    function respond()
* q, U% s9 z' d( y! c( O8 p    {
* ?0 c, G" X" k* C% V: k
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
: X: Y4 y- A; O......
& X6 ^4 t" ]( l, q9 ]1 y& D
# B$ f# I/ A! Y4 d

! X) ~. H+ m" Q2 u  n3 ?, k, y5 e: d' X
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
. j4 z! F) @9 V2 T7 A# @3 u( p/ m
这两个方法在plus/carbuyaction.php文件调用。

* O9 N+ G. I" \+ rplus/carbuyaction.php
3 O+ f! j, t: ^0 ^
......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
+ l' |  R, k8 a& F    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
5 M' w) c7 Z0 V9 j        exit();  
9 |* X- [! Y' i* Q0 G" Z1 ?    } else {
        exit('Error:File Type Can\'t Recognized!');
' c: M( w5 g2 y0 A    }
}
......
1 t2 ?0 n% q6 H: s" G% B/ x& t
. A1 h  m0 {% |




3 b/ ^. v2 }/ X大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
- a/ j( B% R, R8 F- R  H所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
: ~9 C. q8 V& d' E  m
# n. I; c! S# F" O; h8 d; o回到include/common.inc.php来看看他的机制。



......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
/ A4 }( h/ ]: x! G, h7 U{
! K2 ?, y' u( f/ P3 b# g        foreach($$_request as $_k => $_v)
        {
9 t- z( g0 }/ Q2 a                if($_k == 'nvarname') ${$_k} = $_v;
( f, C+ M# ]5 Q. U) u* E' \& ~; {                else ${$_k} = _RunMagicQuotes($_v);
; H) [# Y! y; J: I        }
}
......
, k" E7 Q% k. U1 M0 k& }大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
$ M; ?9 @( `6 n( Q4 r9 v; S由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。