漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-056676
漏洞标题：DOYO PHP任意文件执行
相关厂商：wdoyo.com
漏洞作者： 大大怪
提交时间：2014-04-11 16:32
修复时间：2014-07-07 16:33
公开时间：2014-07-07 16:33
漏洞类型：文件包含
危害等级：中
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-04-11： 细节已通知厂商并且等待厂商处理中
2014-04-16： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-06-10： 细节向核心白帽子及相关领域专家公开
2014-06-20： 细节向普通白帽子公开
2014-06-30： 细节向实习白帽子公开
2014-07-07： 细节向公众公开
简要描述：
加载模板未做严格过滤，可以加载任意文件
详细说明：
快51了，送礼物吧。最好是电子产品。
http://localhost/index.php?c=ajax&a=member_login&template=/../../config.php
template 可以由用户提交，并可以使用 ../ 来切换目录。
如果上传的图片中加用PHP 的代码就可以加载图片为模板，然后执行PHP
虽然图片使用 getimagesize() 来检测，但是可以绕过。
前台会员，上传图片并没有明显入口，但可以通过以下地址
http://localhost/index.php?c=member&a=m_upload_load&hand=1&molds=1&aid=1&tid=8&inputid=1
这里的 tid 必须是后台存在的，否则看不到返回的图片上传地址，这个是调用FLASH 上传的，可以通过抓包工具来获取，FLASH 返回的图片上传地址。
上传成功以后执行 doyocms_upload_onCompleteData(info) 而这里是调用了父级页面的一个方法，也可以手动建个框架页来获取。
漏洞证明：
修复方案：
问题1，模板读取未做限制可以使用 ../ 来切换到不同的目录
问题2，模板读取不限制后缀名
问题3，读取哪个模板，竟然可以GET 来决定
版权声明：转载请注明来源 大大怪@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-07-07 16:33
厂商回复：
最新状态：
2014-07-07：已经修复