dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
' N( W3 a# K4 @
) Y7 S; m. a1 R0 O% Z, R出现漏洞的两个文件为：
Include/payment/alipay.php
7 P$ N! T. d! h, k& gInclude/payment/yeepay.php
2 U$ n% z" @' b; Z/ t$ n漏洞均出现在respond方法里，估计这两个文件是临时工写的。
/ F4 r5 q; A1 c! ?
Include/payment/alipay.php

- ?3 @& m/ v3 @9 n+ p, }......
   function respond()
    {
0 x1 i! }2 n3 g1 E0 A' {/ r        if (!empty($_POST))
        {
& e: }. o9 N4 v; v7 q/ _$ m            foreach($_POST as $key => $data)
: B/ W- K  v+ f9 E" c* A1 m+ E9 |            {
                $_GET[$key] = $data;
0 [, I" e+ @, S            }
        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
1 Q' O* r7 f: k9 o. @......
7 A8 l2 u8 ?' l2 R% O' Q2 O, Q

5 s! l6 o& V& h1 s# G* D; e大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php
* B$ }8 P! P: E$ f


$ q; ], \; E! G% o' e......
. k- v+ D1 e5 i# v' S* `    function respond()
! B* J- o- g# {* t    {
& l" y  I8 X# {% }) R
        /* 引入配置文件 */
( k8 V) a. M, h  e: i( v' f        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
/ N6 n& ]1 G; h2 n% l4 ?
/ {( g& v, n8 `        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......


7 T8 E% w- f" X" |1 }

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

这两个方法在plus/carbuyaction.php文件调用。
4 Q. E) H+ w- d/ r* c; @
plus/carbuyaction.php
6 r5 k! `$ @. U- K+ ?  J
......
} else if ($dopost == 'return') {
  q; b* d0 I$ Q0 O, n& Z    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
; v2 N8 ?$ ~8 k1 G, B        require_once DEDEINC.'/payment/'.$code.'.php';
7 D! E$ m* G" n% U        $pay = new $code;
0 O7 `) D' u8 {5 o" h        $msg=$pay->respond();
0 C0 ~$ w8 o5 D- Y" ^        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
% q2 Y. D4 g3 T! I9 c2 L        exit('Error:File Type Can\'t Recognized!');
    }
}
......
  h8 ^8 Z# ~/ u, M



" g" o, w  H4 P; k) J6 T

大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
) l/ v7 b* i$ ~( s所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。



......
; `, G1 M! \- [! i. I5 ]9 S- J/ vforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
2 |8 t2 L  P) e$ z; E        {
% x' U, U# [) ]. R! `/ J                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
% e# n" p6 R4 S) M- t        }
}
......
2 a' Q' u5 b+ N8 s- u大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。