dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

9 [4 l, t) G( [+ `, i出现漏洞的两个文件为：
Include/payment/alipay.php
9 a! I# q* C2 GInclude/payment/yeepay.php
, R2 X6 Y* x+ S- w  B9 U' k" @漏洞均出现在respond方法里，估计这两个文件是临时工写的。

2 l6 D' V, P* YInclude/payment/alipay.php
! F8 ?' X8 c, y- D6 o
0 ~7 ^/ v7 z0 a% Z8 D2 J......
+ A6 l" r8 _  E1 a8 t   function respond()
6 s# N4 Q' }8 d1 ^! N    {
/ U# P5 V) A: A$ D+ Q1 a4 f0 e! y7 \        if (!empty($_POST))
5 W1 s, {" q7 h        {
1 S3 s/ |7 K2 e            foreach($_POST as $key => $data)
            {
+ s  }, _" i+ B6 f! `6 r% `                $_GET[$key] = $data;
  A% w- g" i9 e! Z# \            }
0 T. `) j# f( `# S        }
% S# p7 U( t0 X( e" v7 y5 J- k        /* 引入配置文件 */
4 m0 i; D- J0 k# i; C! {8 h8 g3 G        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......

) f# e1 V. l- A$ ~- E6 R: c: w6 ]
0 M' Q+ C) y( Z9 D" ?: R8 D大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
* {( a% w9 a; Z) ~1 y
Include/payment/yeepay.php



......
    function respond()
    {

        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';

        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
# \1 b" g/ i, Y, R1 w......


2 C2 h. |, j$ O1 c) ?% q

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
. I+ `( \# D8 K) R# t. z
这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php
+ {. F3 Q, Y3 h. t) P# i
4 [' l6 I/ d. F" I- V5 {......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
    if (in_array($code, $write_list))
    {
4 j) e+ }$ s* H7 s        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
" w2 o$ C0 b( @- \( ^' W    } else {
% x6 t. c: R$ ^) z) N, n        exit('Error:File Type Can\'t Recognized!');
" f( d3 z6 O4 ]& S: {    }
}
/ X" Q2 b( n+ i. G* V......
8 Q; `6 P0 h9 @# P
' a9 o# O! Z7 X0 l1 F
) m5 h3 `0 b1 e# M. Q# F
* R* n* P/ ]1 T: R3 y


1 ?) f4 V! r) o3 C5 `7 h大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
. O# {5 t! Q# c: j( u- x5 Q1 t% l所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
1 e. m& e! G7 a! j: M$ L
& y/ w* \, i- b+ s回到include/common.inc.php来看看他的机制。

' b, n  X& h  E1 {( b, k

0 |2 N2 e0 z0 p2 l2 A5 l......
foreach(Array('_GET','_POST','_COOKIE') as $_request)
1 v8 ~& n3 g/ E4 {{
, `3 b2 J+ V$ i7 X3 {$ L2 [        foreach($$_request as $_k => $_v)
6 a) v$ Q& O: r        {
                if($_k == 'nvarname') ${$_k} = $_v;
                else ${$_k} = _RunMagicQuotes($_v);
        }
. x# v( z: f0 [}
......
6 r" ?0 A* y+ i2 h1 A' i大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。