搜索

[12553] 2018-04-05_路由器漏洞分析第五弹：CVE-2018-5767远程代码执行

文档创建者：s7ckTeam
浏览次数：59
最后更新：2025-01-18
2018-04-05_路由器漏洞分析第五弹：CVE-2018-5767远程代码执行 路 由 器 漏 洞 分 析 第 五 弹 ： C V E - 2 0 1 8 - 5 7 6 7 远 程 代 码 执 行 原 创   k c z w a 1   F r e e B u f   2 0 1 8 - 0 4 - 0 5 * 本 文 作 者 ： k c z w a 1 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 此 前 我 们 分 析 了 四 种 路 由 器 漏 洞 ， 现 在 终 于 写 到 此 前 我 们 分 析 了 四 种 路 由 器 漏 洞 ， 现 在 终 于 写 到   P W N   类 的 漏 洞 了 。 类 的 漏 洞 了 。 传 送 门 ： 通 过 C V E - 2 0 1 7 - 1 7 2 1 5 学 习 路 由 器 漏 洞 分 析 ， 从 入 坑 到 放 弃 路 由 器 漏 洞 复 现 分 析 第 二 弹 ： C N V D - 2 0 1 8 - 0 1 0 8 4 路 由 器 漏 洞 复 现 分 析 第 三 弹 ： D V R F   I N T R O 题 目 分 析 路 由 器 漏 洞 复 现 分 析 第 四 弹 ： C V E - 2 0 1 8 - 7 0 3 4 1 . 漏 洞 概 述 漏 洞 概 述 C V E - 2 0 1 8 - 5 7 6 7   T E N D A   A C 1 5 路 由 器 权 远 程 代 码 执 行 参 考 信 息 ： h t t p s : / / w w w . f i d u s i n f o s e c . c o m / r e m o t e - c o d e - e x e c u t i o n - c v e - 2 0 1 8 - 5 7 6 7 / 漏 洞 固 件 版 本 ： T e n d a   c n   A c 1 5 _ f i r m w a r e : 1 5 . 0 3 . 1 . 1 6 2 . 漏 洞 分 析 漏 洞 分 析 . 漏 洞 文 件 是 b i n / h t t p d 此 处 会 将 c o o k i e 中 的 p a s s w o r d 后 面 的 值 拷 贝 到 变 量 v a r _ 1 c 0 ， 造 成 栈 溢 出 A r m   小 端 结 构 . 先 把 a r m 架 构 的 q e m u 拷 贝 过 来
使 用 如 下 脚 本 调 试 : 此 处 会 需 要 将 c o n n e c t c f m 的 返 回 值 p a t c h 为 1 ： 推 荐 一 下 k e y p a t c h   插 件 ， 可 以 在 I D A 中 直 接 修 改 指 令 ，   h t t p s : / / g i t h u b . c o m / k e y s t o n e - e n g i n e / k e y p a t c h 之 后 h t t p 服 务 就 可 以 运 行 起 来 了 ： 在 R 7 W e b s S e c u r i t y H a n d l e r 中 下 好 断 点 ， E x p l o i t . p y 运 行 ， 断 下 来 ： L R   存 放 返 回 值 ， 地 址 为 F E C D C ， v a r _ 1 c 0 是 要 存 放 可 控 输 入 变 量 的 地 方 F E B 1 C ， 所 以 我 们 的 p a l y l o a d 为 A * （ F E C D C - F E B 1 C ） + B B B B ( 需 要 覆 盖 的 返 回 地 址 ) + c c c c d d d d 。 跑 一 波 ， 发 现 没 有 断 到 p c = 4 2 4 2 4 2 4 2 的 地 方 ， 而 是 [ R 3 ]   出 错 。 c p   $ ( w h i c h   q e m u - a r m - s t a t i c )   . / q e m u
在 拷 贝 完 p a s s w o r d 后 ， 还 会 看 字 符 串 里 是 否 含 有 ” . ” 且 ” . ” 之 后 三 位 为 ” g i f ” , 如 果 有 的 话 就 会 直 接 跳 到 结 尾 ， 而 不 会 去 到 需 要 读 取 [ R 3 ] 的 地 方 ， 在 p a y l o a d 里 面 加 上 . g i f ,   p c 到 4 2 4 2 4 2 4 2 处 c r a s h 了 有 n x ， 栈 里 的 代 码 不 能 直 接 执 行 ， 因 此 必 须 R O P 了 。 查 找 l i b c   基 址 ： L i b c = 0 x 4 0 9 c 7 0 0 0 但 是 此 处 有 个 坑 , l i b c 的 地 址 并 不 正 确 , r o p 链 会 跳 到 错 误 的 地 方 , 看 一 下 p u t s 函 数 的 地 址 :
P u t s 在 l i b c 中 的 地 址 : 那 么 l i b c = 4 0 9 d c c d 4 - 3 5 c d 4 = 4 0 9 A 7 0 0 0 L i b c 中 有 s y s t e m 函 数 , 那 么 需 要 找 一 个 p o p   r 0 , s p 类 似 的 代 码 把 s p 中 的 参 数 放 到 r 0 去 R O P g a d g e t — b i n a r y = . / l i b / l i b c . s o . 0   |   g r e p ” m o v   r 0 ,   s p ” 或 者   – o n l y   “ p o p ” |   g r e p “ r 0 ” , 但 是 p o p   { r 0   p c }   这 条 命 令 无 法 使 用 , 因 为 r 0 的 参 数 太 长 , 所 以 需 要 放 到 p c 后 面 ,   找 到 如 下 两 个 g o d g e t : 先 将 s y s t e m   p o p 到 r 3 ， 再 将   s p 中 的 c o m m a n d 参 数 放 到 r 0 ， 构 造 如 下 e x p l o i t . p y   ：
在 覆 盖 p c 后 ， 返 回 之 前 的 栈 的 结 构 如 下 ， 6 6 6 9 6 7 2 e 为 ” . g i f ” , 后 面 为 布 好 的 r o p 链 运 行 完 后 ， 通 过 - s t r a c e 参 数 可 以 看 到 h t t p d 在 模 拟 环 境 中 执 行 了 我 们 想 要 执 行 的 命 令 ： * 本 文 作 者 ： k c z w a 1 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理