dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
5 N% w) @# V& a4 j6 W. u, U6 a
出现漏洞的两个文件为：
2 |! E: Y5 w% c/ N$ zInclude/payment/alipay.php
0 y4 m* Q7 }/ LInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
) W/ u! h9 T$ f1 h5 p* y7 q+ J
; b+ T! T4 l" x9 CInclude/payment/alipay.php
; v, _8 I/ s- D% U$ Q2 \* v$ e% `
& l- l% P; a: T, [1 h......
# K- g  R% ?2 X4 m+ U9 X6 M   function respond()
    {
        if (!empty($_POST))
2 Q( P5 B- e  p0 {) C, J        {
            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
4 f6 t+ A- @+ u2 W% ?            }
        }
% D) ]1 o" M  S8 T* L* T9 L% T        /* 引入配置文件 */
' \+ ]2 K, X2 {        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
( y) {" f& @2 _; l4 G" J5 H: }......
( q+ v4 d: X0 Q0 d+ Y

大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
9 @# m5 r4 I  D) ?
% p( B4 L* T, o4 P6 J. qInclude/payment/yeepay.php


) z/ Q4 s( Q! C' i: q$ D
......
    function respond()
    {
2 b$ u& O# J% U! H  }0 y
        /* 引入配置文件 */
# a; r! K; r% g; b6 f. C8 i2 ^( R        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
$ C% V: h+ |" d; a$ [, _0 e8 i+ Q) P. h
. X; e( f+ d' n$ v; W        $p1_MerId = trim($payment['yp_account']);
+ b2 Q4 v" Y6 [  p( q        $merchantKey = trim($payment['yp_key']);
......
. i/ F0 k/ S9 W9 M, q
  O" f+ a0 f* w' b
9 s5 U  G$ x' x" ^% E1 x: ?4 g4 g) e
" }6 J2 U+ O: G  E* U; H6 C- L
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
- |* C9 R2 ?4 g! @: g# E' m( T) J
这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php
! V; Q6 B7 V/ i; F% ~" O) C
2 o! e$ [2 o/ l/ b8 }4 @/ s......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
, j/ H, F* B3 _$ B+ p, E' h* U    {
        require_once DEDEINC.'/payment/'.$code.'.php';
+ t! z/ A8 o5 m, q3 f4 ~8 a$ d: m, i        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
) \$ C: Q5 X2 Y        exit('Error:File Type Can\'t Recognized!');
9 P3 u7 s: I3 n+ O    }
}
5 S- C/ C- ]( P4 K) Q......

, `: g  M! I( a9 ]5 M: m' m
& t& d/ s9 w  l1 }
4 s' w' \) G6 s, t" E) _2 ^. K

5 B/ W. ^* m: W  L# P" U3 J
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
, U* @  j! @' Y% f0 ^4 s! H
6 w; k6 o, D; @9 v: J回到include/common.inc.php来看看他的机制。

1 s2 ]+ ~" M. ?  y

1 G$ n. c8 G, b; [: ?9 W0 d0 f. j......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
' j; K( X' |0 Y5 T: p# ]{
        foreach($$_request as $_k => $_v)
% ~: b' E8 d. t) B+ k( Y6 X  |( z        {
% `! ]. q( `: ?* M9 V/ o# \/ D                if($_k == 'nvarname') ${$_k} = $_v;
6 a& V& e# P; Q                else ${$_k} = _RunMagicQuotes($_v);
$ v, Z3 f8 {- d        }
}
' S- Y9 D, `5 U( G: E( G......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。