织梦(Dedecms)V5.X 本地文件包含漏洞

admin

漏洞版本:
DedeCms 5.x漏洞描述:
2 Z( _* W7 e9 S) r; FDedeCms是免费的PHP网站内容管理系统。
! r6 `6 }0 F. Q/ _: i- R0 R- l
" |+ m1 r% u# @/ i9 ^; Jplus/carbuyaction.php里没有对变量进行严格的过滤

出现漏洞的两个文件为：
  u' o5 m* I6 zInclude/payment/alipay.php
" K" \' I% z9 D+ o) ?; {# OInclude/payment/yeepay.php
漏洞均出现在respond方法里
' o/ r9 j2 X. y/ Q9 d. d4 W# d( p
Include/payment/alipay.php
......function respond(){if (!empty($_POST)){foreach($_POST as $key => $data){$_GET[$key] = $data;}}/* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';......
) P4 P# a; G* x! G& T3 H3 Z                       
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
Include/payment/yeepay.php
2 h% B& E$ m. k' M1 [: n3 X......function respond(){ /* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php'; $p1_MerId = trim($payment['yp_account']);$merchantKey = trim($payment['yp_key']);......
                       
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。<* 参考
http://bugscan.net/manage/node/83
http://www.cnseay.com/2515/
*>
测试方法:
1.http://www.dedecms.com/plus/carb ... amp;code=../../tags 上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断， 使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie
2.由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径
) k' Y! a& U  X3 I4 P修复方法:
% ^' E& [. J0 @* G) n* |6 R目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.dedecms.com/products/dedecms/

* H, d; {- m6 b, {( p5 W7 z 临时修复：
0 K, p: }( x2 p9 y5 m1)Include/payment/alipay.php
9 c8 J$ t1 E* F( `  大概133行左右
  require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
替换
: k# C) `9 V) V+ a: e$ C/ l# E% b( [ require_once DEDEDATA.'/payment/'.basename($_GET['code']).'.php';
2) Include/payment/yeepay.php
# L7 o7 G1 o5 i大概在145行左右
. j& j. i, R7 _# Q: D+ s require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
; p) l5 E& k4 @' Z+ G- ^( i; O$ Q 替换
1 `% J8 A+ J  K5 L1 l# k% Q) G require_once DEDEDATA.'/payment/'.basename($_REQUEST['code']).'.php';
* k4 f5 v% b+ t+ F2 m! s