dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
2 s3 p7 x& n0 S& N& m
出现漏洞的两个文件为：
9 }% Z! X8 C1 C! [/ @+ fInclude/payment/alipay.php
" t$ N0 y4 V8 s- EInclude/payment/yeepay.php
( M% N1 W2 u4 V漏洞均出现在respond方法里，估计这两个文件是临时工写的。
- s/ k" @; _# c9 L" H
* t/ P% W) B% u, N) B, C3 \/ DInclude/payment/alipay.php
1 m9 O) n( e' n, }( {9 C
......
' e7 n, B8 J& n, {8 M7 q1 v2 ]   function respond()
6 w6 ]' [+ M' ]- l' p    {
$ s0 p: ]% x$ d4 o" W! p        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
) L! J  B3 j# A# ~+ Y( ?2 |+ Z            {
                $_GET[$key] = $data;
& u4 C+ x1 |: ]/ ]            }
        }
. q' |7 B" d9 _: m5 w5 @        /* 引入配置文件 */
2 O. }' g; q8 L5 s        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......

  @* d& l% y6 m9 t9 p
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

* w9 o! Z7 T1 J) P$ i5 fInclude/payment/yeepay.php


( A, h: c3 J) H) r; ]+ l
- I1 o" k& u' F" p......
    function respond()
% J3 k, |4 K5 Q5 S* C, N    {
$ E2 [3 X* Q& G  D4 C
+ C; n$ y3 a9 i6 A        /* 引入配置文件 */
9 o2 m( R  J, ~        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
% [  t! ?. T9 k& q        $merchantKey = trim($payment['yp_key']);
( T3 d7 ~3 D. w% K......
" S8 E( O4 A8 ]9 F
8 C2 f  w. @- A; k  B$ ?

+ v( M. c/ B" `& L
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
* \0 @! W7 w1 }8 B8 |
+ V9 |+ \9 G  W这两个方法在plus/carbuyaction.php文件调用。
/ l7 N" J9 ^3 p4 A) p
plus/carbuyaction.php

! m5 H7 ]1 q2 }3 |9 Q......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
- X1 C+ n0 ]" s8 [9 {    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
8 q" I& N6 P# n        exit();  
- T2 A- n# M) z2 I! v5 s. y    } else {
) I2 e' T# \- {* o, @) X        exit('Error:File Type Can\'t Recognized!');
/ n/ S2 v/ r3 W8 X9 j  ]3 C$ O3 f    }
}
# W' W& a3 n6 D- S......


6 z" q5 [0 U- O- a7 K
; |- V& D" {: g
+ }6 b) z1 L: }' G$ N$ d
4 N: M9 b; N) ]" _5 \
, K+ {, X  O% Q6 B8 q大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

% o8 W7 ]: [0 @1 Z) u9 @7 v' y回到include/common.inc.php来看看他的机制。

# v" v4 g) U8 d

......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
- {* x: P' k4 N1 p{
        foreach($$_request as $_k => $_v)
, o0 H3 C$ Y2 m        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
+ n. q9 U' R, l. P......
" `* y. R" `/ {大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
6 [% ], M1 h. [由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。