织梦(Dedecms)V5.X 本地文件包含漏洞

admin

漏洞版本:
DedeCms 5.x漏洞描述:
DedeCms是免费的PHP网站内容管理系统。
8 {: Z% b- p0 j! r: H9 H; @: Q9 f
, ~3 ~5 q0 y5 G( N: S5 Vplus/carbuyaction.php里没有对变量进行严格的过滤
& r% W0 q& Q6 t; R: s
3 r5 ~9 T' Z9 P; w! B出现漏洞的两个文件为：
" z3 c" d+ v& C: @Include/payment/alipay.php
Include/payment/yeepay.php
漏洞均出现在respond方法里
5 s  |+ b7 H3 S
Include/payment/alipay.php
......function respond(){if (!empty($_POST)){foreach($_POST as $key => $data){$_GET[$key] = $data;}}/* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';......
  B: ~* C, f) x- W3 h. W0 ]                       
# \% m. S6 I( y2 b; s大概在133行左右，$_GET[‘code’]没有经过任何判断和过滤。
6 L3 z. z1 E$ N  \9 ^, c% y- CInclude/payment/yeepay.php
......function respond(){ /* 引入配置文件 */require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php'; $p1_MerId = trim($payment['yp_account']);$merchantKey = trim($payment['yp_key']);......
                       
  j, R' b, z+ G2 H大概在145行左右，$_REQUEST['code']没有经过任何判断和过滤。<* 参考
http://bugscan.net/manage/node/83
http://www.cnseay.com/2515/
*>
6 @; `/ }* a1 I测试方法:
1.http://www.dedecms.com/plus/carb ... amp;code=../../tags 上面的Exp是包含根目录下的tags.php文件包含其他后缀请自行构造截断， 使用exp测试时须要自己添加一个code等于alipay或yeepay的cookie
0 |) O2 d! `1 o" ?; i$ j2.由于bank和cod这两个文件并没有respond方法，所以如果code等于bank或者cod时将会暴错泄露路径
修复方法:
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
* M* v! S% ?/ U9 I0 jhttp://www.dedecms.com/products/dedecms/
7 H0 K( q5 d; }7 `( p1 u
临时修复：
1)Include/payment/alipay.php
  大概133行左右
3 m5 d1 t; o3 v9 C+ b7 Q7 N  require_once DEDEDATA.'/payment/'.$_GET['code'].'.php';
替换
2 N6 |- N* b, {0 W( O# I0 K6 i require_once DEDEDATA.'/payment/'.basename($_GET['code']).'.php';
2) Include/payment/yeepay.php
大概在145行左右
require_once DEDEDATA.'/payment/'.$_REQUEST['code'].'.php';
4 P# [* U- k7 n" d9 v3 m9 T' ? 替换
$ I4 }' }" J/ `. r* V, a' `9 I require_once DEDEDATA.'/payment/'.basename($_REQUEST['code']).'.php';

% Y2 O8 a' u7 D# ?