dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
/ ?% o$ W) e. {2 c) ^
+ n7 {" E/ m5 ]( a8 y% R出现漏洞的两个文件为：
" b: ]$ r* D( w, `; qInclude/payment/alipay.php
7 _5 }6 L( A+ o9 Y9 `Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php
# m3 |: \% X, z
1 K) ~" k) a8 n7 F9 i5 N......
   function respond()
5 g5 q" L: _' B- b4 g. C" p: Y; p    {
        if (!empty($_POST))
0 J" V' Y9 V2 R# u) J4 Z        {
, V: w, s  ^  ], b4 n5 o7 \5 D$ \            foreach($_POST as $key => $data)
+ C7 e& _/ E7 z! Y6 o7 Z            {
                $_GET[$key] = $data;
            }
        }
        /* 引入配置文件 */
; t  j% W3 S' U2 O  M+ k, j" t        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......


* Q9 o4 Q% r! H" ]  P大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php
% R! g+ E, ~' w' G4 y% y


( o$ t7 c/ [: ^3 F......
    function respond()
9 C' N# u" m+ {3 a8 e7 V% g# F    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
" s3 Z2 f1 U9 M6 j' B
! z7 ^* Q2 ]1 {' q- R        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......

0 Z5 o# p* y- w* e6 l& ]. W
0 B4 G* I5 T0 O2 m

- k7 K# K) W7 \4 u9 K大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

& g& W. t" C- J: U' ?/ b  Z6 `这两个方法在plus/carbuyaction.php文件调用。
& K9 ?* @% C/ v
" z  ~. y% e5 P8 R+ K; g+ t6 Tplus/carbuyaction.php
( y0 F% r, l; f0 x: Q4 ^
$ ^$ K+ `- S' G0 W/ U; `7 v' s  c......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
, _  t: Y1 Z  a, ?    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
5 _: n. z  ]! q+ X- d        ShowMsg($msg, "javascript:;", 0, 3000);
* z  B3 f  m% j' \$ H7 \" f        exit();  
- u+ |9 r3 P0 m  N; k# V7 L) |    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
- b/ x( ?9 b4 N2 [; T}
! j1 r& {9 Q3 b4 ~/ D4 H" ^......

0 }, j0 w6 E# F/ l

3 I5 g' {6 @( o' g4 `  r  ?; u( u
7 [7 M9 n* X3 i. G1 s

, I. v% R% K9 X' ?  [4 R大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
. Z/ l, X* b& i" ~0 [+ }4 w* R$ q
回到include/common.inc.php来看看他的机制。


; `; J( ^  ~7 \/ k: F0 l; K! l8 ^
. C  d  e/ Y/ H......
( ]+ _* Q% d0 T6 x4 T5 S3 dforeach(Array('_GET','_POST','_COOKIE') as $_request)
, f: N9 t) h7 O1 X/ C{
' e4 K7 r/ N! x6 u% u6 n$ J        foreach($$_request as $_k => $_v)
        {
" W0 o% A: J, i                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
/ Q( B4 ^: i$ k$ O: C: q  e        }
}
4 A+ o; U8 L$ Y) U) r" s......
; D1 t7 f2 ?% o4 H4 J1 u大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。