搜索

[12718] 2018-05-18_DLINKDCS-5020L无线云摄像机远程代码执行漏洞分析

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-18
2018-05-18_DLINKDCS-5020L无线云摄像机远程代码执行漏洞分析 D L I N K   D C S - 5 0 2 0 L 无 线 云 摄 像 机 远 程 代 码 执 行 漏 洞 分 析 s e c i s t   F r e e B u f   2 0 1 8 - 0 5 - 1 8 简 介 简 介 本 文 主 要 是 向 大 家 演 示 ， 如 何 找 到 物 联 网 （ 本 文 主 要 是 向 大 家 演 示 ， 如 何 找 到 物 联 网 （ I O T ） 设 备 中 的 漏 洞 。 查 找 以 下 命 令 注 入 的 过 程 可 以 分 为 ） 设 备 中 的 漏 洞 。 查 找 以 下 命 令 注 入 的 过 程 可 以 分 为 3 个 步 骤 ， 个 步 骤 ， 有 点 类 似 于 有 点 类 似 于 1 0 0   p o i n t   C T F   c h a l l e n g e ： 下 载 二 进 制 文 件 ， 运 行 字 符 串 ， 跟 踪 系 统 调 用 到 原 点 的 输 入 。 ： 下 载 二 进 制 文 件 ， 运 行 字 符 串 ， 跟 踪 系 统 调 用 到 原 点 的 输 入 。 D L I N K   D C S - 5 0 2 0 L “ D C S - 5 0 2 0 L 无 线 N   D a y ＆ N i g h t 云 台 / 倾 斜 云 台 摄 像 机 是 一 款 日 夜 型 网 络 摄 像 机 ， 可 轻 松 连 接 到 您 现 有 的 家 庭 网 络 ， 并 支 持 在 各 种 移 动 设 备 上 进 行 远 程 观 看 。   它 具 有 平 移 ， 倾 斜 和 数 码 变 焦 功 能 ， 可 让 您 使 用 单 台 相 机 查 看 更 为 广 阔 的 区 域 ， 内 置 W i - F i 扩 展 器 ， 轻 松 扩 展 无 线 覆 盖 范 围 ， 夜 视 距 离 达 5 米 ， 声 音 和 运 动 检 测 终 极 的 安 心 无 忧 ， H . 2 6 4 视 频 压 缩 为 高 质 量 的 图 像 。 “ 提 取 固 件 提 取 固 件 与 任 何 物 联 网 设 备 一 样 ， 我 们 需 要 做 的 第 一 件 事 就 是 （ 如 果 我 们 有 权 访 问 它 ） 从 固 件 映 像 中 提 取 文 件 系 统 。 而 对 于 这 种 设 备 ， 第 一 次 b i n w a l k 扫 描 不 会 显 示 任 何 东 西 ： 我 们 正 在 寻 找 的 是 某 种 形 式 的 嵌 入 式 文 件 系 统 ， 比 如 s q u a s h f s 。 如 果 找 不 到 它 ， 通 常 是 因 为 它 被 使 用 了 分 层 压 缩 。   我 们 需 要 做 的 就 是 使 用 - M 选 项 ， 递 归 运 行 b i n w a l k 。 最 终 ， 我 们 在 2 层 压 缩 下 发 现 了 c p i o 文 件 系 统 。 让 我 们 来 查 看 下 负 责 W e b 服 务 器 的 h t t p d 二 进 制 文 件 。 文 件 名 ： a l p h a p d M d 5 s u m :   e a 6 2 2 a 9 2 6 c 4 3 5 e 4 6 3 7 f 4 8 5 2 5 3 6 a a f a 8 c 漏 洞 漏 洞 就 像 文 章 开 头 所 说 的 那 样 ， 首 先 我 们 在 二 进 制 文 件 上 运 行 字 符 串 ， 看 看 会 发 生 什 么 ：
这 些 看 起 来 像 是 传 递 给 系 统 的 命 令 。 这 里 的 ’ s e d ’ 命 令 非 常 有 趣 ， 看 起 来 好 像 是 从 某 个 地 方 输 入 的 。 下 一 步 是 跟 踪 输 入 ， 看 看 我 们 是 否 可 以 控 制 它 。 我 们 可 以 看 到 这 里 有 两 个 引 用 我 们 感 兴 趣 的 字 符 串 的 函 数 。 反 过 来 ， 每 个 函 数 都 在 s e t F o r m D e f i n e M a n a g e m e n t 中 被 引 用 ：
这 些 都 是 我 们 可 以 发 送 请 求 的 P O S T 表 单 。   例 如 ， 如 果 我 们 以 下 面 的 形 式 更 改 密 码 ， 我 们 向 s e t S y s t e m A d m i n 发 出 P O S T 请 求 ： 应 该 注 意 的 是 ， 您 需 要 拥 有 管 理 员 凭 据 才 能 访 问 此 页 面 ， 稍 后 再 介 绍 。 还 有 一 点 需 要 注 意 的 是 ， s e t S y s t e m U s e r M o d i f y 表 单 总 是 返 回 一 个 4 0 4 ， 所 以 我 们 坚 持 分 析 s e t S y s t e m A d m i n 。 因 此 ， 从 s u b _ 4 2 D C C C 开 始 ， 代 码 将 从 非 易 失 性 R A M 以 及 w e b s G e t V a r 中 取 值 。
这 里 的 一 个 关 键 信 息 是 对 C h e c k S y s t e m V a r 的 调 用 ， 这 段 代 码 调 用 w e b s G e t V a r C h e c k 来 处 理 大 量 的 输 入 值 ， 包 括 A d m i n I D 。 然 后 w e b s G e t V a r C h e c k 调 用 c h e c k V a r S t r i n g ， 如 下 所 示 ： 这 显 然 只 是 一 个 s w i t c h / c a s e 结 构 。 我 们 感 兴 趣 的 值 是 A d m i n I D ， 可 以 看 到 它 的 值 必 须 小 于 1 3 个 字 节 。
所 以 我 们 知 道 A d m i n I D 的 约 束 是 它 必 须 少 于 1 3 个 字 节 。 完 成 所 有 这 些 后 ， 通 过 格 式 字 符 串 传 递 给 我 们 的 A d m i n I D 参 数 来 调 用 D o S y s t e m 。 很 显 然 ， 攻 击 者 可 以 使 用 一 个 简 单 的 p a y l o a d 来 躲 避 ’ s e d ’ 命 令 ， 比 如 ‘ ’ 。   另 一 个 例 子 是 A d m i n I D = a ’ ’ ， 它 允 许 用 户 登 录 为 “ a ” ， 并 将 此 视 作 新 的 r o o t 帐 户 ： t o u c h   a t e l n e t d
注 意 ， 我 们 使 用 空 密 码 登 录 。 进 一 步 说 明 进 一 步 说 明 我 们 还 发 现 ， 我 们 可 以 通 过 在 大 多 数 密 码 字 段 中 发 送 长 密 码 ， 来 对 w e b   s e r v e r   s e g f a u l t 。 如 果 我 们 发 送 1 9 8 个 字 节 ， 服 务 会 发 生 段 错 误 ， 并 且 会 导 致 总 线 错 误 。 不 过 可 惜 的 是 ， 我 找 不 到 让 g d b s e r v e r 进 入 设 备 的 方 法 ， 因 此 也 无 法 转 储 核 心 文 件 并 抓 取 它 。 以 下 是 使 用 2 1 0 A 的 D D N S P a s s w o r d 参 数 向 / s e t S y s t e m N e t w o r k 发 出 P O S T 请 求 的 示 例 。 掌 握 凭 据 的 攻 击 者 可 以 利 用 该 漏 洞 ， 在 摄 像 机 的 W e b 界 面 上 导 致 其 拒 绝 服 务 。 如 果 我 们 能 找 到 在 设 备 上 调 试 二 进 制 文 件 的 方 法 ， 也 有 可 能 做 到 R C E 。 影 响 影 响 目 前 ， 这 些 设 备 中 有 近 7 0 0 0 个 连 接 到 互 联 网 ：
M I S C 受 影 响 的 版 本   -   固 件 1 . 1 4 . 0 9 受 影 响 的 二 进 制 文 件   -   A l p h a p d   -   e a 6 2 2 a 9 2 6 c 4 3 5 e 4 6 3 7 f 4 8 5 2 5 3 6 a a f a 8 c 补 丁   -   D L i n k 的 公 告 T I M E L I N E 2 0 1 7 . 1 1 . 2 1   -   向 厂 商 披 露 ， 收 到 W i l l i a m   B r o w n 的 回 复 ， 并 发 送 给 研 发 部 门 2 0 1 7 . 1 1 . 2 9   -   M I T R E   C V E 请 求 ， 分 配 C V E   2 0 1 7 - 1 7 0 2 0 ， 然 后 发 送 给 D l i n k 并 更 新 它 们 。   W .   B r o w n 询 问 公 开 披 露 时 间 ， 我 们 告 诉 他 没 有 时 间 限 制 ， 只 有 在 补 丁 发 布 后 才 会 被 公 开 披 露 。 2 0 1 8 . 4 . 2 7   -   D l i n k 的 解 决 方 案 正 式 上 线 2 0 1 8 . 4 . 2 7   -   博 客 上 线 并 更 新 了 C V E * 参 考 来 源 ： f i d u s i n f o s e c ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理