dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

; g% G3 f3 q* B- d8 E2 o9 r出现漏洞的两个文件为：
7 a( a1 `0 K6 s3 g: a. b  nInclude/payment/alipay.php
Include/payment/yeepay.php
9 R  p; V" [1 W6 k# H漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php

......
   function respond()
    {
        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
5 I. t# Z8 b, }5 z3 W0 E4 p* w            {
                $_GET[$key] = $data;
2 _3 B( G8 ^0 w2 C9 F            }
        }
        /* 引入配置文件 */
; t; ]1 R4 W6 q5 s0 m        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
( V& V+ o! J; Q6 q1 K% i0 ~......

7 S' v7 V4 y' L- z# P5 K
7 @- o* i* V4 U7 g大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
0 P& i) h* n' `' Z. u
  g" u: D, x3 x, L( j4 ]Include/payment/yeepay.php

- @5 ]; N- e, l4 _
( D5 n  q( s8 W
( ~! l9 E! @& ]$ X+ ^......
    function respond()
9 Z! z3 }- l( @5 s( J    {
. e8 b3 S! R9 Z7 R4 Z' y" X2 p! n( H7 H# c
        /* 引入配置文件 */
$ x5 Y, F  U  U1 X        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
; K8 `1 d0 @* Q$ N
7 m4 R. v! O  j) ~        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
8 G; e* h1 y% L. ]* Y6 w$ @
9 v5 Y" C# h: g6 U& b9 H$ Z
  h& a, `5 U9 A8 b0 j- @' i5 v
) G/ d5 t" D& b: ?% B
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php
$ y% H8 ]9 `6 l/ Y! x
......
' S# d  H' q, }) y6 D' S* B} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
) t: ?/ X/ G, f+ t    if (in_array($code, $write_list))
" p& V( O1 @$ C" T    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
! O2 H0 }3 I6 D4 `. i2 @& R2 P        ShowMsg($msg, "javascript:;", 0, 3000);
6 u. o- C3 Y4 C% H  A% k' R" J        exit();  
    } else {
' I+ s$ A( Z* p4 E        exit('Error:File Type Can\'t Recognized!');
! P( D1 u: O) C( i& R6 n4 \    }
  m2 j, i. F4 l( r- V. B5 S6 ?}
# y7 ~3 y9 z7 g$ v: n8 g; L......





  n7 B9 k) O- m/ ]! Q# S+ H
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
9 P1 y* M/ ]2 ^$ f5 X所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
9 Q: L2 b, x/ u: K8 j; J
回到include/common.inc.php来看看他的机制。

6 }" n6 y9 q$ s/ M

# Y9 F; f! y/ A......
0 f$ E3 Z: e; t& jforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
- i1 M3 U, r+ j3 d        foreach($$_request as $_k => $_v)
' f4 D% n8 ^% T2 h2 Z" [; j        {
; ?; u8 n; o, k9 ^$ O$ h                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
" J4 i; E8 F5 S+ Z3 h        }
7 ~6 P& [4 o+ q}
8 o% b+ ~  q* t......
' r9 `! `# v; Y1 s/ K大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
7 z5 S' |) P4 N: S" A由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。