搜索

[12384] 2018-02-21_路由器漏洞复现分析第二弹：CNVD-2018-01084

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2018-02-21_路由器漏洞复现分析第二弹：CNVD-2018-01084 路 由 器 漏 洞 复 现 分 析 第 二 弹 ： C N V D - 2 0 1 8 - 0 1 0 8 4 k c z w a 1   F r e e B u f   2 0 1 8 - 0 2 - 2 1 * 本 文 原 创 作 者 ： k c z w a 1 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 感 谢 基 友 z B e t w e e n e r 一 直 与 我 讨 论 此 次 分 析 中 遇 到 的 各 种 问 题 ， 没 有 他 的 帮 助 我 无 法 完 成 此 文 。 1 月 月 1 7 日 ， 日 ， C N V D 公 开 了 公 开 了 D - L i n k D I R   6 1 5 / 6 4 5 / 8 1 5   s e r v i c e . c g i 远 程 命 令 执 行 漏 洞 （ 远 程 命 令 执 行 漏 洞 （ C N V D - 2 0 1 8 - 0 1 0 8 4 ） ， ） ， f r e e b u f 上 有 前 辈 写 了 一 篇 漏 洞 复 现 和 上 有 前 辈 写 了 一 篇 漏 洞 复 现 和 p o c 的 文 章 （ 的 文 章 （ h t t p : / / w w w . f r e e b u f . c o m / n e w / 1 6 0 7 1 6 . h t m l ） 。 ） 。 在 上 一 篇 文 章 （ h t t p : / / w w w . f r e e b u f . c o m / v u l s / 1 6 0 0 4 0 . h t m l ） 里 实 际 操 作 了 一 下 用 q e m u   s y s t e m 模 式 模 拟 路 由 器 环 境 ， 那 这 一 次 再 通 过 分 析 C N V D - 2 0 1 8 - 0 1 0 8 4 实 际 操 作 一 下 用 q e m u   u s e r   模 式 配 合 I D A 对 固 件 做 调 试 。 漏 洞 信 息 漏 洞 信 息   ： ： D - L i n k   D I R   6 1 5 / 6 4 5 / 8 1 5 路 由 器 1 . 0 3 及 之 前 的 固 件 版 本 存 在 远 程 命 令 执 行 漏 洞 。 该 漏 洞 是 由 于 s e r v i c e . c g i 中 拼 接 了 H T T P   P O S T 请 求 中 的 数 据 ， 造 成 后 台 命 令 拼 接 ， 导 致 可 执 行 任 意 命 令 。 一 一   运 行 环 境 分 析 运 行 环 境 分 析 先 下 载 到 相 关 固 件 ， d i r 8 1 5 _ F W _ 1 0 2 . b i n ， 此 文 件 对 应 D - L i n k 8 1 5 路 由 器 1 0 2 版 本 固 件   ， b i n w a l k 解 开 后 找 到 c g i b i n 文 件 . I D A 打 开 C g i b i n 看 一 下 m a i n 函 数 ， 如 果 要 运 行 到 处 理 s e r v i c e . c g i 函 数 的 分 支 ， 需 要 将 一 个 参 数 设 为 相 应 的 字 符 串 尝 试 了 之 前 网 上 一 些 大 神 的 脚 本 方 法 ， 用 标 准 输 入 的 参 数 方 式 或 者 是 直 接 在 q e m u 命 令 后 面 加 参 数 的 方 式 ， 如 下 的 代 码 ， 都 没 能 成 功 后 来 发 现 需 要 用 q e m u   - 0   的 方 式 来 指 定 参 数 第 一 个 参 数
运 行 c g i b i n , 还 需 要 配 置 一 些 必 要 的 参 数 , 搜 索 一 下 s e r v i c e c g i _ m a i n ， 发 现 里 面 及 其 子 函 数 c g i b i n _ p a r s e _ r e q u e s t 里 面 会 取 如 下 的 环 境 变 量 , 如 果 不 配 置 相 应 的 环 境 变 量 那 么 c g i b i n 运 行 后 会 直 接 走 到 h t t p   解 析 失 败 的 分 支 。 因 此 在 执 行 c g i b i n 时 还 需 要 加 入 如 下 的 环 境 变 量 如 果 需 要 调 试 还 要 加 入   - g   参 数 指 定 端 口 号 ， 那 么 整 合 成 如 下 的 s h e l l 脚 本 ：
U b u n t u 下 面 先 切 换 到 r o o t 用 户 再 运 行 此 脚 本 ， 此 时 c g i b i n 就 已 经 在 等 待 调 试 器 连 接 的 状 态 。 二 二   调 试 器 设 置 调 试 器 设 置 调 试 器 可 以 选 择 如 下 的 两 种 方 法 ： 1 .   用 用 b u i l d r o o t 里 面 编 译 好 的 里 面 编 译 好 的 g d b 来 调 试 来 调 试 , 步 骤 如 图 所 示 ， 用 g d b 启 动 要 调 试 的 文 件 后 设 置 相 应 的 远 程 调 试 地 址 和 端 口 2 . 用 用 I D A 来 远 程 调 试 ， 来 远 程 调 试 ， 首 先 U b u n t u 里 安 装 w i n e , 再 用 w i n e 运 行 i d a 用 i d a 打 开 c g i b i n d e b u g g e r   o p t i o n 里 设 置 F 9 开 始 调 试 , 选 择 文 件 和 端 口 , 参 数 等
确 认 附 加 到 远 程 进 程 里 然 后 发 现 i d a 断 在 库 函 数 里 面 F 9 运 行 , 就 到 m a i n 函 数 入 口 处 了 三 三   调 试 过 程 调 试 过 程 C G I 中 一 般 通 过 g e t e n v 或 s t d l i b 库 函 数 g e t e n v 来 获 得 环 境 变 量 获 取 p o s t 过 来 的 数 据 ,
在 c g i b i n 中 未 找 到 s t d i n , s c a n f 这 样 的 函 数 或 者 字 符 串 , 因 此 把 要 注 入 的 命 令 当 做 输 入 参 数 传 递 不 能 成 功 ， 仔 细 检 查 每 一 个 g e n e n v , 把 要 注 入 的 命 令 放 到 r e q u e s t _ u r i 环 境 变 量 时 候 成 功 当 取 到 r e q u e s t _ u r i 后 , 如 下 图 , 会 去 取 ” ? ” 后 面 的 内 容 ， 也 就 是 我 们 注 入 的 参 数 ， 因 此 在 我 们 的 s h e l l 脚 本 里 面 需 要 如 下 修 改 ： h t t p 解 析 成 功 后 , 就 是 验 证 c o o k i e 的 s e s s _ i s p o w e r u s e r 函 数 , 直 接 修 改 了 返 回 值 v 0 过 掉 ,
接 下 来 就 是 用 去 取 r e q u e s t _ u r i 里 面 的 参 数 , 里 面 可 以 存 在 e v e n t , a c t i o n , s e r v i c e 三 种 类 型 的 命 令 , 找 到 e v e n t 参 数 后 , v 0 的 值 为 C H E C K F W & l s & : 继 续 往 下 进 入 l x m l d b c _ s y s t e m 函 数 ， v s n p r i n t f 将 v 0 的 内 容 输 出 到 s 0 ， s 0 的 值 为 ”   e v e n t C H E C K F W & l s &   >   / d e v / n u l l   “   ， 已 经 是 我 们 预 期 要 执 行 的 注 入 命 令 ， 然 后 赋 值 给 a 0 作 为 s y s t e m 命 令 的 第 一 个 参 数 。
在 s h e l l 脚 本 里 加 入   - s t r a c e 参 数   ， 可 以 看 到 此 时 的 系 统 调 用 ， 如 图 ， s y s t e m 函 数 执 行 了 我 们 需 要 的 参 数 ， 但 是 却 报 错 目 前 的 q e m u 版 本 ： 造 成 以 上 错 误 的 原 因 是 ， q e m u 2 . 5   u s e r 模 式 并 未 实 现 e x e c v e 函 数 ， 需 要 下 载 带 补 丁 版 本 的 q e m u 2 . 9 版 本 并 调 加 - e v e c v e 参 数 ， 最 终 的 s h e l l 脚 本 如 下 ： 再 执 行 后 如 图 ， 注 入 的 l s 命 令 成 功 执 行 * 本 文 原 创 作 者 ： k c z w a 1 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理