dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
' J& ?$ v. d2 T6 o( a2 K
出现漏洞的两个文件为：
Include/payment/alipay.php
7 n1 r  @( N; e; f& WInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。

1 f" o& ?# f6 A1 u' }& ~Include/payment/alipay.php
6 o; {# H8 Q0 ^& z' y
......
   function respond()
    {
  C5 ?' s3 R1 R7 ]! ^. g3 g        if (!empty($_POST))
        {
8 d+ {* A9 I* U3 O+ F0 p8 ^            foreach($_POST as $key => $data)
+ k$ C5 l- q& L3 t1 y7 A+ c' ^8 C            {
5 W; ^. M+ v8 u                $_GET[$key] = $data;
            }
        }
/ z& r/ J! B- \% ~        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
  S+ u: z* X2 s& z' B, d7 |( Z. l4 F......

" y; n; P: R# w6 Q: ], `9 n
( m6 Z+ L- Y6 M6 T3 \, a/ G大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

: a0 w; ?4 g, sInclude/payment/yeepay.php
5 X: h3 |# P- S/ u, s4 s9 j
, a8 d& k' `  I; \
* L% n1 i3 i- O- W
" k: B& x; s  i- L/ r......
    function respond()
    {
! a% m" V/ |( s1 S. x& m; W
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
5 ?( b" Y3 y- Q' w" [3 H6 X) v        $merchantKey = trim($payment['yp_key']);
- |5 O' d3 l) w( i; t......
( q- S8 M: t. R1 G: I8 l

' @: n) S0 o9 y) e- `4 t1 j% y
* ?: p2 o# B6 k3 n# }3 B5 C
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
' C9 ?. w) E7 t9 C! K4 ~" R- U; S  p
这两个方法在plus/carbuyaction.php文件调用。

- P4 o$ r, ]% G$ {5 aplus/carbuyaction.php

( |) N) p6 V. f6 U7 u) I8 X......
} else if ($dopost == 'return') {
- Y* V' X% b% t5 {    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
/ K' M5 U/ B/ D    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
7 }$ a% a& }$ D6 {7 H1 }0 s        $msg=$pay->respond();
; s6 G' `: L. L& @5 U; V        ShowMsg($msg, "javascript:;", 0, 3000);
% M: e! ]& F7 ?; ?; ]        exit();  
: b; |9 @1 {4 O4 D3 P2 |: Z; y    } else {
        exit('Error:File Type Can\'t Recognized!');
# b- c+ j: G& t5 u1 {    }
$ O8 s* T$ O* U# e9 K) @}
+ J5 e- P8 b* ^& C8 s......
( m' O! E  E% H3 q. K( ?

  Y$ C4 B9 {. k# D
5 b! k% P! g4 i# a

: U0 x* @, [' `1 L2 l9 S+ Z
; S3 R- _  O4 ^* ]大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
5 `# |9 i: e# z所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。
4 H/ c; c# o) V! }7 e6 x7 g1 t+ ~
  b" p( m5 l2 L, p- z5 {

......
* b/ ?" W% a- _$ pforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
, F# c0 b# y0 l                else ${$_k} = _RunMagicQuotes($_v);
        }
}
......
6 Z# D4 W0 P0 A大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
. p  N$ v, U) F3 F  `. x由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。