搜索

[11824] 2017-09-25_解密攻击者如何利用D-Link路由器构建僵尸网络

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-09-25_解密攻击者如何利用D-Link路由器构建僵尸网络 解 密 攻 击 者 如 何 利 用 D - L i n k 路 由 器 构 建 僵 尸 网 络 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 9 - 2 5 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 讨 论 我 们 在 几 台 顶 级 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 讨 论 我 们 在 几 台 顶 级 D - L i n k 路 由 器 中 发 现 的 安 全 漏 洞 ， 受 影 响 的 路 由 器 型 号 如 路 由 器 中 发 现 的 安 全 漏 洞 ， 受 影 响 的 路 由 器 型 号 如 下 ： 下 ： - D I R 8 9 0 L - D I R 8 8 5 L - D I R 8 9 5 L - 以 及 其 他 相 关 的 D I R 8 x x 型 号 D - L i n k 路 由 器 这 些 设 备 使 用 的 是 相 同 的 代 码 ， 因 此 攻 击 者 将 能 够 利 用 这 些 设 备 中 存 在 的 安 全 漏 洞 来 组 成 一 个 庞 大 的 僵 尸 网 络 。 除 此 之 外 ， 我 们 还 将 尝 试 通 过 修 改 路 由 器 的 编 译 脚 本 来 制 作 一 个 模 拟 的 M i r a i 僵 尸 网 络 。 本 文 所 要 讨 论 的 主 要 是 D - L i n k 路 由 器 设 备 中 的 两 个 安 全 漏 洞 。 其 中 一 个 与 c g i b i n （ c g i b i n 是 主 要 的 C G I 文 件 ， 它 负 责 生 成 用 于 控 制 路 由 器 的 W e b 接 口 页 面 ） 有 关 ， 另 一 个 漏 洞 则 与 系 统 恢 复 功 能 有 关 。 窃 取 登 录 凭 证 窃 取 登 录 凭 证 简 而 言 之 ， 你 只 需 要 发 送 一 个 H T T P 请 求 ， 你 就 可 以 窃 取 到 路 由 器 的 登 录 名 和 密 码 了 。 我 们 所 检 测 到 的 第 一 个 漏 洞 存 在 于 p h p c g i 中 。 p h p c g i 是 一 个 指 向 c g i b i n 的 符 号 链 接 ， 它 负 责 处 理 所 有 针 对 . p h p 、 . a s p 和 . t x t 页 面 的 请 求 。 它 可 以 对 通 过 U R L 、 H T T P 头 或 P O S T 请 求 的 b o d y 所 发 送 的 数 据 进 行 解 析 ， p h p c g i 会 创 建 一 个 长 字 符 串 ， 而 这 个 字 符 串 之 后 会 被 处 理 成 一 系 列 键 值 对 ， 并 被 用 于 _ P O S T 和 $ _ S E R V E R 等 字 典 以 及 p h p 脚 本 变 量 之 中 。 完 成 了 请 求 分 析 之 后 ， 符 号 链 接 会 检 测 用 户 是 否 经 过 了 身 份 验 证 。 如 果 用 户 没 有 被 授 权 ， 它 便 会 将 字 符 串 中 的 A U T H O R I Z E D _ G R O U P 变 量 值 设 置 为 - 1 。
这 里 的 问 题 就 在 于 ， 整 个 解 析 过 程 是 存 在 安 全 漏 洞 的 。 每 一 个 键 值 对 都 是 按 照 以 下 形 式 编 码 的 ： _ T Y P E _ K E Y   = V A L U E ， 其 中 T Y P E 可 以 是 G E T 、 P O S T 或 S E R V E R 。 接 下 来 ， 键 值 对 会 使 用 分 行 符 ’ n ’ 来 进 行 连 接 。 通 过 发 送 P O S T 请 求 ， 我 们 可 以 使 用 S o m e V a l u e % 3 d A U T H O R I Z E D _ G R O U P = 1 这 个 值 来 添 加 一 个 键 。 这 个 键 将 会 被 解 析 成 _ G E T _ S o m e K e y = S o m e V a l u e n A U T H O R I Z E D _ G R O U P = 1 ， 而 它 将 允 许 我 们 触 发 脚 本 运 行 。 接 下 来 ， 通 过 向 h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 / g e t c f g . p h p 发 送 一 个 请 求 ， 然 后 将 键 值 对 S E R V I C E S = D E V I C E . A C O U N T 添 加 进 去 ， 我 们 就 可 以 调 用   / h t d o c s / w e b i n c / g e t c f g / D E V I C E . A C C O U N T . x m l . p h p 脚 本 ， 而 这 个 脚 本 将 给 我 们 返 回 路 由 器 的 登 录 名 和 密 码 。
很 明 显 ， 这 个 安 全 问 题 将 允 许 任 何 一 名 攻 击 者 运 行 存 储 在 / h t d o c s / w e b i n c / g e t c f g 文 件 夹 中 的 脚 本 ， 而 且 除 了 刚 才 这 个 脚 本 之 外 ， 目 录 中 还 有 一 个 名 叫 D E V I C E . A C C O U N T . x m l . p h p 的 脚 本 同 样 可 以 帮 助 攻 击 者 窃 取 到 包 括 设 备 登 录 名 和 密 码 在 内 的 重 要 信 息 。 换 句 话 说 ， 如 果 攻 击 者 向 h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 / g e t c f g . p h p 发 送 了 一 个 请 求 ， 并 添 加 了 键 值 对 S E R V I C E S = D E V I C E . A C O U N T ， 那 么 路 由 器 所 返 回 的 响 应 页 面 中 同 样 将 包 含 设 备 的 登 录 名 以 及 密 码 。 针 对 p h p c g i 的 漏 洞 利 用 代 码 ： 【 点 我 获 取 】 路 由 器 的 超 级 用 户 访 问 （ 从 远 程 代 码 执 行 到 路 由 器 的 超 级 用 户 访 问 （ 从 远 程 代 码 执 行 到 r o o t 权 限 ） 权 限 ） 除 了 刚 才 所 介 绍 的 之 外 ， 攻 击 者 甚 至 还 可 以 使 用 他 们 自 己 的 固 件 来 对 设 备 进 行 更 新 。 与 之 前 一 样 ， 攻 击 者 只 需 要 发 送 一 个 H T T P 请 求 就 能 够 拿 到 路 由 器 设 备 的 r o o t - s h e l l 。 长 话 短 说 ， 第 二 个 漏 洞 是 一 个 由 执 行 错 误 所 引 起 的 栈 缓 冲 区 移 除 漏 洞 。 【 H N A P 】 为 了 通 过 协 议 来 发 送 消 息 ， 攻 击 者 需 要 向 h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 / H N A P 1 / 页 面 发 送 一 个 请 求 ， 然 后 在 S O A P A C T I O N 头 中 指 定 请 求 的 类 型 。 存 在 漏 洞 的 是 身 份 认 证 请 求 的 处 理 过 程 ， 而 ” h t t p : ⁄ / p u r e n e t w o r k s . c o m / H N A P 1 / L o g i n ” 这 个 值 是 用 来 调 用 身 份 认 证 功 能 的 。 因 此 ， 攻 击 者 就 可 以 在 请 求 b o d y 中 指 定 另 一 个 不 同 的 键 值 对 ： A c t i o n 、 U s e r n a m e 、 L o g i n P a s s w o r d 和 C a p t c h a 。 接 下 来 ， 这 些 键 都 被 编 码 成 H T M L 标 签 。 例 如 值 存 在 问 题 的 地 方 就 是 负 责 提 取 键 值 对 的 函 数 ， 这 里 的 栈 缓 冲 区 大 小 被 设 定 成 了 0 x 4 0 0 个 字 节 ， 而 攻 击 者 可 以 使 用 s t r n c p y 发 送 一 段 长 度 超 过 0 x 1 0 0 0 0 个 字 节 的 数 据 ， 并 成 功 引 起 栈 缓 冲 区 发 生 溢 出 。 S t r n c p y 会 让 当 前 栈 空 间 溢 出 ， 然 后 进 一 步 损 坏 函 数 调 用 栈 。
当 函 数 退 出 的 时 候 ， R 0 寄 存 器 中 保 存 了 一 个 指 向 字 符 串 的 指 针 。 因 此 ， 攻 击 者 就 可 以 在 这 里 指 定 一 条 s h 命 令 ， 然 后 将 返 回 地 址 修 改 为 一 个 系 统 函 数 。 接 下 来 ， 这 台 路 由 器 设 备 将 完 全 处 于 攻 击 者 的 控 制 之 下 。 针 对 H N A P 漏 洞 的 漏 洞 利 用 代 码 ： 【 点 我 获 取 】 通 过 路 由 器 的 恢 复 模 式 更 新 固 件 通 过 路 由 器 的 恢 复 模 式 更 新 固 件 简 而 言 之 ， 当 路 由 器 重 启 之 后 ， 你 就 会 拿 到 设 备 的 r o o t 权 限 。 第 三 个 漏 洞 的 分 析 如 下 ： 当 路 由 器 启 动 之 后 ， 它 会 设 置 一 个 用 于 恢 复 系 统 的 W e b 服 务 器 （ 仅 持 续 几 秒 钟 ） ， 而 这 台 服 务 器 将 允 许 未 经 身 份 验 证 的 攻 击 者 更 新 设 备 的 软 件 。 因 此 ， 攻 击 者 只 需 要 利 用 刚 才 所 介 绍 的 那 几 个 漏 洞 或 向 服 务 j c p d 发 送 命 令   “ E X E C   R E B O O T   S Y S T E M ”   就 能 够 重 启 目 标 路 由 器 。 为 了 获 取 到 目 标 路 由 器 的 完 整 控 制 权 ， 攻 击 者 还 需 要 向 路 由 器 上 传 一 个 定 制 版 的 恶 意 固 件 。 针 对 路 由 器 系 统 恢 复 漏 洞 的 漏 洞 利 用 代 码 ： 【 点 击 下 方 阅 读 原 文 获 取 】 漏 洞 情 况 漏 洞 情 况 D - L i n k 目 前 仅 修 复 了 D I R 8 9 0 L 型 号 路 由 器 中 的 一 个 安 全 漏 洞 ， 而 本 文 所 介 绍 的 D - L i n k 其 他 型 号 路 由 器 以 及 漏 洞 仍 然 没 有 被 解 决 ， 而 且 开 发 者 仍 然 没 有 意 识 到 另 外 两 个 安 全 漏 洞 的 严 重 性 。 因 此 ， 大 家 应 该 懂 得 要 怎 么 做 了 吧 ？ D - L i n k ， 干 得 漂 亮 ！ *   参 考 来 源 ： 参 考 来 源 ： e m b e d i ， ，   F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理