搜索

[12776] 2018-06-02_GPONHomeRouter家庭光纤网关设备漏洞技术分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2018-06-02_GPONHomeRouter家庭光纤网关设备漏洞技术分析 G P O N   H o m e   R o u t e r 家 庭 光 纤 网 关 设 备 漏 洞 技 术 分 析 腾 讯 W i F i 管 家   F r e e B u f   2 0 1 8 - 0 6 - 0 2 前 言 前 言 什 么 是 什 么 是 G P O N 终 端 ？ 终 端 ？ P O N 终 端 ， 俗 称 终 端 ， 俗 称 “   光 猫 光 猫 ” ， 作 用 类 似 于 大 家 所 熟 悉 的 ， 作 用 类 似 于 大 家 所 熟 悉 的 A D S L   M o d e m ， 是 光 纤 到 户 家 庭 需 备 ， 是 光 纤 到 户 家 庭 需 备 的 网 络 设 备 。 根 据 不 同 的 技 术 和 标 准 ， 的 网 络 设 备 。 根 据 不 同 的 技 术 和 标 准 ， P O N   又 为 分 为 又 为 分 为 E P O N 和 和 G P O N 两 种 两 种 腾 讯 W i F i 安 全 实 验 室 在 4 月 3 0   日 收 到 v p n M e n t o r 在 其 技 术 B l o g 公 布 了 两 个 关 于 G P O N   H o m e   R o u t e r   （ 家 庭 光 纤 网 关 设 备 ） 的 漏 洞 ， 其 中 C V E 为 C V E - 2 0 1 8 - 1 0 5 6 1 (   验 证 绕 过 漏 洞 ) 和 C V E - 2 0 1 8 - 1 0 5 6 2 （ 命 令 注 入 漏 洞 )   ， 使 得 攻 击 者 可 以 远 程 用 很 简 单 的 命 令 构 造 发 送 请 求 到 G P O N 路 由 器 上 进 行 任 意 命 令 执 行 ， 腾 讯 W i F i 管 家 安 全 实 验 室 在 收 到 以 上 漏 洞 之 后 进 行 了 详 细 的 技 术 分 析 一 、 漏 洞 验 证 一 、 漏 洞 验 证 发 布 的 P O C 直 接 运 行 在 某 些 系 统 上 会 有 问 题 ， 这 里 直 接 转 换 成 了 p y t h o n 3 代 码 运 行 结 果 ：
可 以 看 到 P O C 首 先 利 用 C V E - 2 0 1 8 - 1 0 5 6 1 绕 过 了 验 证 ， 直 接 访 问 了   / G p o n F o r m / d i a l o g _ F o r m ( 用 于 执 行 命 令 ) 和 / d i a l o g . h t m l ( 用 于 查 看 执 行 结 果   ) 这 两 个 页 面 ， 再 利 用 C V E - 2 0 1 8 - 1 0 5 6 2 在 p i n g 后 注 入 了 任 意 命 令 。 二 、 漏 洞 代 码 分 析 二 、 漏 洞 代 码 分 析 为 了 更 好 的 验 证 以 及 分 析 以 上 两 个 漏 洞 成 因 以 及 原 理 ， 我 们 在 网 上 寻 找 了 很 久 终 于 找 到 了 相 关 设 备 的 固 件 文 件 ， 然 后 利 用 我 们 的 固 件 分 析 平 台 对 固 件 进 行 解 包 并 且 反 编 译 后 ， 最 后 根 据 对 反 编 译 后 的 源 码 进 行 深 入 分 析 ， 可 以 看 到 漏 洞 代 码 主 要 是 在 / b i n / W e b M g r 这 个 执 行 文 件 中 直 接 搜 索 ‘ i m a g e s ’ 字 符 串 ， 找 到 s u b _ 4 0 2 c 3 0 函 数 ， 如 下
当 字 符 串 含 有 s t y l e / , s c r i p t / , i m a g e s /   均 对 v 0 赋 值 0 最 后 验 证 通 过 返 回 v 0   = = 0 否 则 v 0   = =   - 1 ,   通 过 上 面 的 分 析 ， 发 现 不 仅 仅 是 i m a g e s / , s t y l e / 和 s c r i p t /   均 可 以 触 发 该 验 证 绕 过 漏 洞 。 接 下 来 查 找 注 入 漏 洞 的 函 数 接 下 来 查 找 注 入 漏 洞 的 函 数 漏 洞 触 发 的 整 个 流 程 是 w e b _ m a i n L o o p   - >   w e b s U r l H a n d l e r D e f i n e   - >   E 8 C _ D i a l o g _ i n i t   - >   s u b _ 4 1 5 4 a 8   - >   s u b _ 4 1 5 b 8 8   以 下 是 对 各 个 函 数 触 发 的 分 析 1 、 、 w e b _ m a i n L o o p
这 个 是 一 个 循 环 ， 接 收 到 了 / G p o n F o r m 之 后 跳 入 w e b s U r l H a n d l e r D e f i n e 2 、 、 E 8 C _ D i a l o g _ i n i t d i a l o g _ F o r m 之 后 进 入 s u b _ 4 1 5 4 a 8 3 、 、 s u b _ 4 1 5 4 a 8
首 先 是 对 d i a l o g _ a c t i o n 和 d e s t _ h o s t 的 取 值 ， 接 着 跳 入   s u b _ 4 1 5 b 8 8   4 、 、 s u b _ 4 1 5 b 8 8 s t r n c p y 拼 接 了 d e s t _ h o s t ， 并 且 在 后 面 直 接 对 其 进 行 了 执 行 ， 见 下 面 两 张 图
执 行 了 d e s t _ h o s t 所 带 的 命 令 我 们 的 漏 洞 分 析 平 台 也 发 现 了 该 注 入 点 三 、 三 、 漏 洞 影 响 漏 洞 影 响 根 据 腾 讯 W i F i 管 家 安 全 实 验 室 针 对 该 次 漏 洞 事 件 的 扫 描 结 果 发 现 G P O N   H o m e   G a m e w a y 的 主 机 信 息
可 以 看 到 影 响 最 大 的 墨 西 哥 和 越 南 两 个 国 家 受 影 响 的 设 备 估 计 有 几 十 万 ( 这 里 只 列 出 了 近 期 活 跃 的 设 备 ) 。 而 因 为 国 内 I S P 对 于 网 络 的 限 制 而 导 致 我 们 在 针 对 国 内 影 响 面 统 计 上 面 无 法 给 出 较 为 客 观 的 数 据 显 示 ， 但 基 于 我 们 以 腾 讯 W i F i 管 家 的 大 数 据 进 行 统 计 分 析 发 现 ， 国 内 三 大 网 络 运 营 商 所 提 供 家 庭 用 户 的 光 猫 设 备 ， 有 部 分 型 号 存 在 相 同 的 漏 洞 ， 截 止 发 稿 为 止 部 分 海 外 设 备 已 经 过 其 运 营 商 远 程 管 理 服 务 进 行 远 程 漏 洞 修 复 ， 但 修 复 速 度 以 及 覆 盖 面 有 限 。   此 外 ， 面 对 潜 在 的 风 险 W i F i ， 腾 讯 W i F i 管 家 提 供 了 全 面 的   W i F i 安 全 解 决 方 案 ， 为 用 户 营 造 稳 定 、 安 全 、 绿 色 的 W i F i 网 络 环 境 。 其 一 ， 腾 讯 W i F i   管 家 会 根 据 五 星 W i F i 标 准 向 用 户 推 荐 网 络 快 、 网 络 安 全 的 公 共 W i F i ； 其 二 ，   “ 风 险 检 测 ” 功 能 可 以 对 上 网 环 境 进
行 关 于 A R P 欺 诈 、   D N S 篡 改 、 虚 假 钓 鱼 等 全 方 位 的 安 全 检 测 ， 并 根 据 风 险 项 提 示 帮 助 用 户 避 免 连 上 风 险 W i F i ， 保 护 个 人 信 息 安 全 和 手 机 安 全 ； 其 三 ， 腾 讯   W i F i 管 家 特 别 设 置 安 全 支 付 通 道 ， 在 用 户 支 付 时 自 动 识 别 网 络 环 境 ， 并 开 启 专 属 安 全 加 密 通 道 ， 保 障 用 户 支 付 安 全 。 *   本 文 作 者 ： 腾 讯 本 文 作 者 ： 腾 讯 W i F i 管 家 ， 转 载 注 明 来 自 管 家 ， 转 载 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理