dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
( D4 D4 w( T6 U4 }) w
出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。

/ |9 z' h0 u: IInclude/payment/alipay.php
. T( G" S0 f$ T
& H% F3 B  ~4 @' q7 C8 `, F......
   function respond()
    {
' }7 W- y7 R+ q; X3 h6 g        if (!empty($_POST))
3 v( k: h# @/ R! ]        {
            foreach($_POST as $key => $data)
$ P0 Y- n, u/ |            {
                $_GET[$key] = $data;
            }
2 A9 n9 G6 m8 O% x! s0 N        }
        /* 引入配置文件 */
+ l9 f2 w( K' I. Y0 N8 b# L2 y        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
6 v& E% T) Z, r* L6 U......


大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php
3 ]9 H. {: |3 H; _! O8 t# X

% V: o  A+ ]) A
6 L0 K7 Q6 P  T4 |/ f......
5 b0 ]  J- y. @7 l+ V* G    function respond()
8 q$ F, P7 w, U6 F7 f# Z* V# {6 l    {
; \( I; ?5 r0 X, k- c! H
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
. P" J  y4 Y+ }' X# Y

3 [7 ?! y* A4 `. V$ E9 r( y9 }
/ f# i" N7 R/ v/ Z" L* X
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

这两个方法在plus/carbuyaction.php文件调用。
7 P- m1 e. I6 ~; ^
" N/ K7 W: g( J5 f( r7 n% Splus/carbuyaction.php

......
! P2 J+ B" M9 F$ E1 o$ n0 L- v7 ^( z2 S} else if ($dopost == 'return') {
4 K- X7 q' l  M* v    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
. P& ^. H" t9 K: E9 u( @7 C    if (in_array($code, $write_list))
7 W9 C& r4 L) f; x2 f9 }    {
- n9 o) r9 _8 x$ L) X, o        require_once DEDEINC.'/payment/'.$code.'.php';
9 U/ ]* Z- p+ t# {' V3 Z        $pay = new $code;
: j" H4 u# e7 A7 h( j0 T2 U# k        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
4 h+ D; A% Q9 [" K& w! G# i        exit();  
! O* d, `& X4 O. g0 @$ ~    } else {
        exit('Error:File Type Can\'t Recognized!');
; O' U" v& T9 x, [3 k    }
}
# T* l0 v9 b8 ?8 F0 Y" N7 B; s......

, S7 t0 J2 w) i7 n0 _: {2 D



! }1 j6 x) H4 i% ~9 S- j1 Q0 p1 E
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
) o& \3 R4 q, {1 f! c" F所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
" K) C# B. W( {9 l2 c
回到include/common.inc.php来看看他的机制。

2 ~) d& _% e6 Z* t
, D2 k1 t2 i- j$ N5 P* q  p
......
& l8 c/ @; C, yforeach(Array('_GET','_POST','_COOKIE') as $_request)
+ r/ l( O- v  s# \; t{
) w. n  B  n' f7 U7 w        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
. m/ R2 ?, b, c# ]0 e3 y: o......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
: f& {/ Z. h; e8 r2 |由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。