dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
. W1 u9 p- n1 w" P. u- H% I( t2 JInclude/payment/yeepay.php
7 o0 Q6 ]; A7 S. c( |漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php
0 P7 }( ~# |7 G+ c
......
( [' M& |0 W) \9 u; ?   function respond()
( C2 J2 O% H: y* i; j+ D% e    {
3 R+ ^; P6 F$ y. v        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
            {
0 ]+ O$ x1 t  v% ^! C" s, x5 R7 C                $_GET[$key] = $data;
            }
" j2 I$ G: h# i        }
+ @, n, B0 r9 p, P+ V# b2 d        /* 引入配置文件 */
+ P2 r/ z! n: _' p! {# u& v        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......
0 s% ], i! b* F
- V. v* C' {8 ]' s6 ?% I
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
, A# X8 K% T; \) \" j
( ~; D0 w+ q' HInclude/payment/yeepay.php


" g% A1 [# y( R& s% j( z- C" A
......
7 J$ A- Y* h: l    function respond()
" D0 @- P+ u, E0 g0 V! H& v( F) a; C/ ~    {
6 ~: Q, I5 q+ [
        /* 引入配置文件 */
  z. Z8 W7 K% Q) v( R        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
7 K3 c) `+ h3 u0 N" B" m, K- m        $merchantKey = trim($payment['yp_key']);
......




大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

+ B  `+ T7 ~* A$ T这两个方法在plus/carbuyaction.php文件调用。
, c5 d1 {% s) l+ S- V$ m
2 Y7 S+ {5 N5 e2 x$ Oplus/carbuyaction.php
' w" H' L6 g2 i7 W$ U# l7 ^. v& {
......
& `) @' d6 `0 E- @} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
/ Q  V$ t' B9 @1 R7 C    if (in_array($code, $write_list))
6 u5 z! k' u2 `: u% }    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
. d5 s# B9 X+ t6 M6 [; b- F0 ]        ShowMsg($msg, "javascript:;", 0, 3000);
) a! M* z5 l6 z" Y! |7 J        exit();  
    } else {
        exit('Error:File Type Can\'t Recognized!');
    }
8 u: G. ?) a" N. ~9 S}
+ h# [- p# R# x& d6 _8 C, |0 v......


, K; m& f; m$ J) R& T& h
1 T' |1 i3 H1 m6 u. O1 a

, R# g6 p9 n1 a3 V
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
6 L8 `9 S4 A$ R6 Z8 f% [0 |所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。



) \# ?) y! t! I0 l: g+ u7 r......
) T1 s: t9 t" P- q) Lforeach(Array('_GET','_POST','_COOKIE') as $_request)
% q/ I7 `1 Q. e{
9 @, {. Y) D( s, i5 @        foreach($$_request as $_k => $_v)
5 H3 O$ F0 {- p2 R/ s8 r        {
                if($_k == 'nvarname') ${$_k} = $_v;
" J' p8 @! ^5 i                else ${$_k} = _RunMagicQuotes($_v);
/ @# J+ w+ Z% w        }
8 W1 {- i! o( S) {  ]- a4 P8 [}
......
$ i) }) q3 U/ z% e: B; B大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
7 L" g$ m3 b  z( N' g$ r由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。