织梦(Dedecms)V5.X 本地文件包含漏洞

admin

漏洞版本:
( O- f3 l4 }1 M3 TDedeCms 5.x漏洞描述:
DedeCms是免费的PHP网站内容管理系统。

3 o; E" z1 x: b& u; uplus/carbuyaction.php里没有对变量进行严格的过滤
- Q. _8 a2 y$ n
出现漏洞的两个文件为：
; _" P( G8 s, k. O; r( _Include/payment/alipay.php
- {, e$ o. u0 X1 dInclude/payment/yeepay.php
漏洞均出现在respond方法里
* c8 T$ y/ k5 W4 z; e8 n: V$ Y
Include/payment/alipay.php
6 s7 t7 P7 }: e& v6 J1 ~* t......function respond(){if (!empty($_POST)){foreach($_POST as $key => $data){$_GET[$key] = $data;}}/* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';......
                       
. q# M  I$ N/ V8 N大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
3 S: K; C# C& n5 W+ t- }, mInclude/payment/yeepay.php
......function respond(){ /* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php'; $p1_MerId = trim($payment['yp_account']);$merchantKey = trim($payment['yp_key']);......
: N& o, P" j' m  L1 m6 I& E                       
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。<* 参考
http://bugscan.net/manage/node/83
) \8 T1 n* n7 V! l2 i' Y7 Ehttp://www.cnseay.com/2515/
*>
0 b% \2 M6 D& H测试方法:
1.http://www.dedecms.com/plus/carb ... amp;code=../../tags 上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断， 使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie
2.由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径
修复方法:
( @! U2 [3 W& q+ K3 [3 d5 B& l/ y; `4 _5 S, [目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.dedecms.com/products/dedecms/

3 ?: `6 E6 ]% n 临时修复：
: V- H% ^; {; g/ \8 d/ K1)Include/payment/alipay.php
% M6 G( O% @- @3 i7 R& w/ h  大概133行左右
& e: f7 w3 i- }; k$ N0 N7 j, e; @  require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
替换
require_once DEDEDATA.'/payment/'.basename($_GET['code']).'.php';
/ `7 u  t8 A: K: Q2) Include/payment/yeepay.php
/ V2 S$ J# q7 k1 T" K% Q1 J大概在145行左右
require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
) d$ G2 I* L1 P 替换
require_once DEDEDATA.'/payment/'.basename($_REQUEST['code']).'.php';