织梦(Dedecms)V5.X 本地文件包含漏洞

admin

漏洞版本:
DedeCms 5.x漏洞描述:
DedeCms是免费的PHP网站内容管理系统。

plus/carbuyaction.php里没有对变量进行严格的过滤

出现漏洞的两个文件为：
9 \  o& S2 V% N* k, D/ |Include/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里
  W$ k/ K* [6 D6 O
Include/payment/alipay.php
......function respond(){if (!empty($_POST)){foreach($_POST as $key => $data){$_GET[$key] = $data;}}/* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';......
2 P. }/ j; _0 r" V7 z# m$ V                       
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
, O- r0 B5 R% ~' U" [! P; ~$ hInclude/payment/yeepay.php
......function respond(){ /* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php'; $p1_MerId = trim($payment['yp_account']);$merchantKey = trim($payment['yp_key']);......
' P& [& N; b3 W                       
  d, R5 X) J% u4 J; [大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。<* 参考
http://bugscan.net/manage/node/83
7 k0 V7 l' P% chttp://www.cnseay.com/2515/
8 y- @# _' v) M' R9 R# m6 Q; n- |*>
5 n1 F3 U$ v" r4 T* W+ G测试方法:
1.http://www.dedecms.com/plus/carb ... amp;code=../../tags 上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断， 使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie
2.由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径
修复方法:
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
8 f% d* O5 S7 X1 r& ~- vhttp://www.dedecms.com/products/dedecms/
. _$ r+ E. O: F/ h# d3 S7 }& h/ U# t
$ k* R  R1 V( Y$ J$ T& c 临时修复：
, v8 a% J+ u$ K5 G1 A8 P' _  a1)Include/payment/alipay.php
  大概133行左右
  require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
1 @* F9 v% H; @8 z& Y3 q8 h+ N替换
require_once DEDEDATA.'/payment/'.basename($_GET['code']).'.php';
2) Include/payment/yeepay.php
大概在145行左右
" V  z8 X) F5 D0 J require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
6 u2 W, l, |/ z, T: C; y& S4 s 替换
require_once DEDEDATA.'/payment/'.basename($_REQUEST['code']).'.php';

! [( D/ |3 }' K