中国网络渗透测试联盟

标题: 织梦(Dedecms)V5.X 本地文件包含漏洞 [打印本页]
作者: admin    时间: 2013-4-4 17:36
标题: 织梦(Dedecms)V5.X 本地文件包含漏洞
漏洞版本:) ^6 h' f& q! ]" n  S9 a- H  a
DedeCms 5.x漏洞描述:
$ V8 v% C$ h/ FDedeCms是免费的PHP网站内容管理系统。
5 w3 A& @" l+ b/ J7 {
8 P, D# w, j& K3 k- A7 {plus/carbuyaction.php里没有对变量进行严格的过滤
' s3 W! f3 Q2 e9 M. V
3 C( j0 j$ H  @. S* a( V$ n出现漏洞的两个文件为：
. E* t" w8 N; w- Z# {1 g  ]* Q/ g' VInclude/payment/alipay.php( l0 L8 J( [$ N9 R& ?; _  D6 d
Include/payment/yeepay.php
( d" a) c- A6 a- m4 i5 C6 L/ H0 X漏洞均出现在respond方法里
2 P( q2 h% T# `$ k2 R
6 k; [5 f! o( X; s2 oInclude/payment/alipay.php
( C9 C, p, {3 F/ l7 Y; a5 N; i; @......function respond(){if (!empty($_POST)){foreach($_POST as $key => $data){$_GET[$key] = $data;}}/* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';......, y3 n9 m0 p; t) E! V
                        " C) a$ i. ?# o. o$ D1 t
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。. n0 H1 u) ]* n9 e0 d
Include/payment/yeepay.php7 j0 X  u5 M5 \5 h
......function respond(){ /* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php'; $p1_MerId = trim($payment['yp_account']);$merchantKey = trim($payment['yp_key']);......: g9 \7 O# b9 W" y. g( e
                       
0 o! N" _& Z: Z* m. }1 j' [1 @大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。<* 参考
0 i) ?" {+ r7 Z' Q+ ]http://bugscan.net/manage/node/83
3 w  x$ v% Q' G. X+ Bhttp://www.cnseay.com/2515/' C. e; t/ X8 I
*>
& |" R: h- y2 G% m8 ]/ v/ V测试方法:
$ a5 i) X* j' C1.http://www.dedecms.com/plus/carb ... amp;code=../../tags 上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断， 使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie ' e: B  Z& R( J8 F5 d5 e) f; q
2.由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径7 x3 d% t& ]8 Q. B; f) H: l2 c
修复方法:. P3 Y: e) |8 t: j* u7 m. K: B2 i+ m
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：0 E8 @4 {' i: r4 k& a& y
http://www.dedecms.com/products/dedecms/+ C" b2 K5 D7 W) A7 X3 k% l: m5 @

0 f+ `5 I6 M! [! _6 c5 f' @, h 临时修复：
2 Q1 l% S" @, j5 Y1)Include/payment/alipay.php
2 J# n" y7 D& H1 Y) l  大概133行左右
, D! g: g1 Q: e' ^3 {, m  require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
1 d, e# K% a. P' L4 a替换1 Z0 F' l1 i* Y8 r
require_once DEDEDATA.'/payment/'.basename($_GET['code']).'.php';% a" D/ i- n* ]0 k+ q' x- k/ D5 X# B
2) Include/payment/yeepay.php
6 q$ a: V* S! J0 B3 W( J大概在145行左右
' P0 X7 r% X3 U require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
, o0 {3 y' t, L* ]8 q' Q6 @ 替换. E+ {& G6 p* d( r' L
require_once DEDEDATA.'/payment/'.basename($_REQUEST['code']).'.php';/ x) s8 G# N( Q: L3 ~8 g
9 t& N0 W7 u4 v+ {




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2