dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
6 M5 v: r3 x9 G( W+ l+ [- @
出现漏洞的两个文件为：
Include/payment/alipay.php
% v& w  F$ U4 W5 s  q0 U! AInclude/payment/yeepay.php
; j) c, }* w$ D/ e0 s8 }8 n) g漏洞均出现在respond方法里，估计这两个文件是临时工写的。
8 T1 C7 W, s) {
Include/payment/alipay.php

......
   function respond()
    {
. z  ?1 n5 J) j1 U* Z        if (!empty($_POST))
        {
8 c/ `" U# T$ u4 [" n' J            foreach($_POST as $key => $data)
. ~1 n4 y8 n' s9 m            {
* R/ x6 o9 M$ n1 c3 H$ o5 b7 q: e                $_GET[$key] = $data;
            }
- {; `5 b2 w% p4 O        }
        /* 引入配置文件 */
9 ]2 L8 |( P( B  _  I6 K        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......

: z! s+ x; O7 z4 A
" Q/ q0 p2 T# z2 }5 }& W  j" Q大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
1 d: |0 I6 F' ?  w1 h! j
Include/payment/yeepay.php
" X- c- `* \' ?6 d! i


+ }3 S- w+ o) l# L6 J$ w......
    function respond()
; |* ^1 E% c4 F5 ?9 K8 ]    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
& G) n: g. a. a7 I6 u3 }7 U4 M0 P/ y; B
0 _" \8 _4 D/ p        $p1_MerId = trim($payment['yp_account']);
4 n3 |  M; p2 t4 S( k  d% v        $merchantKey = trim($payment['yp_key']);
......
, B* }4 M& v6 a: C: B8 r
7 k' `2 Q7 M6 U8 _' O6 T; v$ Z

$ g+ g9 r; P1 ?1 P6 l) z3 H
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
. {: K  ^( R* y, L' l0 `5 X3 z
# i& J7 D/ w, _' j0 c0 Y这两个方法在plus/carbuyaction.php文件调用。
- x( b, {/ `: L' q8 `
. z: n0 r, P4 s2 o9 D/ Mplus/carbuyaction.php

+ t. P/ E( a1 `$ C# v......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
8 s* |' r3 E2 |( d# y" \+ C8 _% s    if (in_array($code, $write_list))
" ^# [9 j1 B; i! _* P1 T    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
* v4 I$ \$ Y2 h2 l        ShowMsg($msg, "javascript:;", 0, 3000);
+ @" z5 R: v( O3 J5 ~2 {        exit();  
    } else {
6 t" A% O/ ^& O3 ^; U% t$ G- H        exit('Error:File Type Can\'t Recognized!');
    }
}
3 T/ U2 R: U  s5 t. |......
3 I2 k! U) `1 u5 C
6 p  x" x' u0 ~
9 k; \/ d  v" }$ A. a


# \& f" M1 }, V; Y+ k  h# v
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
  ]* Z6 @/ P/ ~3 V所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。

! a8 _6 j/ j1 Q

+ r+ _/ P6 q; R; A, F9 Y, J/ t: j......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
- ]. A3 n# u  l{
+ Z1 [. E4 B; I2 W% W- p        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
4 `, n7 p/ d* k( _9 Y6 A  v                else ${$_k} = _RunMagicQuotes($_v);
8 ^' Q; R+ |; Y7 e0 f0 J1 F0 k: h4 T( ~        }
  ]! F8 g: F, d}
......
) ?6 K, _( ^  n8 z) C大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。