dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
& V( i& a' N9 m$ u
出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
9 Y* z/ U, `  o2 {+ m2 B漏洞均出现在respond方法里，估计这两个文件是临时工写的。
  w: h- M, A6 Y6 A7 c! o$ o! C
7 q- u( v4 ^7 H& g: g, E9 L  o7 aInclude/payment/alipay.php
& P' j, a8 n: l6 E& Y3 Y+ R% t( ~
......
" b2 u- {$ X, h/ {* D' E+ q   function respond()
    {
2 ~% `* x+ T8 v        if (!empty($_POST))
. L* s( f9 B. b- [2 K9 Q3 O0 V4 {        {
            foreach($_POST as $key => $data)
. y* j% c' m+ F  S8 }4 K            {
1 k1 S* _" F/ H& w, V! x) `1 N/ L                $_GET[$key] = $data;
" J0 L2 @' K: B; w            }
' f% k7 o- ]" o$ R- p% f        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......


! M% `' v" `, J' r: b* Y0 X大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
. ]& v  ~. `2 y1 F1 A
Include/payment/yeepay.php

5 Q, e; r2 Q) P

......
    function respond()
    {
) S. D6 q; F8 c8 d, `3 Z4 G
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
0 B" S1 i7 ~3 o. J- K
8 [3 c! W5 k3 t' a8 `* Q        $p1_MerId = trim($payment['yp_account']);
8 L) Z$ e& U7 f/ ^7 j        $merchantKey = trim($payment['yp_key']);
......


" _! {9 h" ~: _6 f" h

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
2 h4 x0 ]2 \+ Q' B7 _. A1 `
" i, C5 ]2 o0 M% i$ Y这两个方法在plus/carbuyaction.php文件调用。
0 I% y$ x7 _% ?5 S
plus/carbuyaction.php
# C, t0 ~, z# d! T% q' |
......
} else if ($dopost == 'return') {
) n) G3 }5 f  M/ ]    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
4 x( G) m& y+ O( R1 T7 {. X$ E        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
}
4 d  B5 ^' o' x$ m" q; W+ ]2 ~3 y......
% D! J9 b' L6 |1 _0 `$ n  `


, m4 V  D, J$ U* c
7 ^9 y2 D+ @0 R. W

% K; h. Y+ Z2 F0 @7 A" T- h大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

4 }% A- W* B" `5 f( T9 B4 P! Y+ o回到include/common.inc.php来看看他的机制。



......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
. @2 q5 T9 A3 w$ b* ]0 `        foreach($$_request as $_k => $_v)
" c5 v8 F: T3 y8 `/ i        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
* K3 U' O: Q, p0 ~, {        }
" |9 W) H( \$ T3 V4 |}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。