搜索

[15157] 2020-03-21_DLinkRCE漏洞CVE-2019-17621分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-03-21_DLinkRCE漏洞CVE-2019-17621分析 D L i n k   R C E 漏 洞 C V E - 2 0 1 9 - 1 7 6 2 1 分 析 原 创   w w 5 4 6 6 0 6 4   F r e e B u f   2 0 2 0 - 0 3 - 2 1 上 一 篇 文 章 分 了 一 下 上 一 篇 文 章 分 了 一 下 A R M 系 统 的 路 由 器 漏 洞 ， 本 次 打 算 尝 试 一 下 系 统 的 路 由 器 漏 洞 ， 本 次 打 算 尝 试 一 下 M I P S 系 统 ， 于 是 选 了 最 近 系 统 ， 于 是 选 了 最 近 D L i n k 路 由 器 的 漏 洞 路 由 器 的 漏 洞 C V E - 2 0 1 9 - 1 7 6 2 1 作 为 目 标 。 同 样 一 路 走 来 各 种 踩 坑 不 断 ， 作 为 目 标 。 同 样 一 路 走 来 各 种 踩 坑 不 断 ， “ 纸 上 得 来 纸 上 得 来 终 觉 浅 ， 绝 知 此 事 要 躬 行 终 觉 浅 ， 绝 知 此 事 要 躬 行 ” ， 对 整 个 过 程 做 一 下 梳 理 。 ， 对 整 个 过 程 做 一 下 梳 理 。 1 、 环 境 搭 建 、 环 境 搭 建 运 行 环 境 安 装 配 置 之 前 须 了 解 你 所 使 用 的 L i n u x 系 统 的 版 本 以 及 Q e m u 的 版 本 ， 因 为 这 直 接 影 响 着 你 后 续 选 择 安 装 各 种 依 赖 包 、 m i p s   q e m u 镜 像 等 的 版 本 ， 各 种 版 本 都 对 应 上 ， 最 终 系 统 才 能 正 确 运 行 。 本 次 漏 洞 分 析 的 基 础 环 境 为 前 期 的 U b u n t u 1 8 . 0 4 虚 拟 机 和 基 于 q e m u - 4 . 0 . 0 源 码 编 译 安 装 的 Q e m u 运 行 环 境 ： 从 站 点 h t t p s : / / p e o p l e . d e b i a n . o r g / ~ a u r e l 3 2 / q e m u / m i p s / 下 载 d e b i a n m i p s   q e m u 镜 像 ， 由 于 虚 拟 机 是 U b u n t u   l i n u x ， 下 载 d e b i a n _ s q u e e z e _ m i p s _ s t a n d a r d . q c o w 2 和 v m l i n u x - 2 . 6 . 3 2 - 5 - 4 k c - m a l t a 即 可 ： M I P S 系 统 网 络 配 置 系 统 网 络 配 置 使 用 Q E M U   模 拟 运 行 M I P S 系 统 ， 需 要 将 u b u n t u 虚 拟 机 设 置 成 桥 接 ， 这 样 以 来 u b u n t u 系 统 就 可 以 和 Q E M U 虚 拟 机 进 行 通 信 和 数 据 传 输 （ 此 操 作 类 似 配 置 V M w a r e   W o r k s t a t i o n 的 桥 接 用 以 与 物 理 机 的 通 信 ） 。 获 取 安 装 依 赖 ， 执 行 以 下 命 令 ： 修 改 u b u n t u 主 机 网 络 配 置 ， 将 u b u n t u 的 网 络 接 口 配 置 文 件   / e t c / n e t w o r k / i n t e r f a c e s   修 改 为 如 下 内 容 并 保 存 、 关 闭 ： 修 改 Q E M U 的 网 络 接 口 启 动 脚 本 ， 重 启 网 络 使 配 置 生 效 ， 执 行 以 下 命 令 ： 在 脚 本 文 件 / e t c / q e m u - i f u p 结 尾 增 加 如 下 内 容 ： s u d o   a p t - g e t   i n s t a l l   b r i d g e - u t i l s   u m l - u t i l i t i e s s u d o   g e d i t   / e t c / n e t w o r k / i n t e r f a c e s s u d o   g e d i t   / e t c / q e m u - i f u p
保 存 文 件 / e t c / q e m u - i f u p   以 后 ， 赋 予 可 执 行 权 限 ， 然 后 重 启 网 络 使 所 有 的 配 置 生 效 ： s u d o   c h m o d   a + x   / e t c / q e m u - i f u p s u d o   / e t c / i n i t . d / n e t w o r k i n g   r e s t a r t Q E M U 启 动 配 置 启 动 配 置 Q e m u 运 行 之 前 先 启 动 桥 接 网 络 ， 在 本 地 u b u n t u 命 令 行 终 端 执 行 以 下 命 令 （ 注 意 ： e n s 3 3 为 u b u n t u 默 认 网 卡 ） ： s u d o   i f u p   b r 0 Q E M U   M I P S 虚 拟 机 启 动 虚 拟 机 启 动 进 入 前 面 下 载 的 m i p s 镜 像 目 录 ， 执 行 以 下 命 令 ： s u d o   i f d o w n   e n s 3 3 s u d o   q e m u - s y s t e m - m i p s   - M   m a l t a   - k e r n e l v m l i n u x - 2 . 6 . 3 2 - 5 - 4 k c - m a l t a   - h d a   d e b i a n _ s q u e e z e _ m i p s _ s t a n d a r d . q c o w 2   - a p p e n d " r o o t = / d e v / s d a 1   c o n s o l e = t t y 0 "   - n e t   n i c , m a c a d d r = 0 0 : 1 6 : 3 e : 0 0 : 0 0 :
输 入 r o o t / r o o t 便 可 登 入 q e m u   m i p s 虚 拟 机 ， 为 了 更 便 操 作 m i p s 虚 拟 机 ， 可 在 u n b u n t u 中 新 开 启 一 个 终 端 ， s s h 连 接 到 q e m u   m i p s ： 固 件 模 拟 运 行 固 件 模 拟 运 行 从 D L i n k 官 网 下 载 包 含 漏 洞 版 本 的 路 由 器 固 件 ： f t p : / / f t p 2 . d l i n k . c o m / P R O D U C T S / D I R - 8 5 9 / D I R - 8 5 9 _ R E V A _ F I R M W A R E _ v 1 . 0 5 B 0 3 . z i p ， 使 用 b i n w a l k - M e 直 接 解 压 固 件 可 得 到 文 件 系 统 文 件 ： 固 件 模 拟 运 行 由 两 种 方 式 可 以 考 虑 ： ①   将 文 件 系 统 上 传 到 q e m u   m i p s 虚 拟 机 中 运 行 ； ②   借 助 f i r m a d y n e 工 具 运 行 固 件 （ 当 然 也 可 以 尝 试 使 用 A t t i f y O S   V M ） ： ①   使 用 s c p 命 令 将 s q u a s h f s - r o o t 目 录 上 传 到 q e m u   m i p s 虚 拟 机 ： c h r o o t   / r o o t / s q u a s h f s - r o o t   s h ②   借 助 f i r m a d y n e 工 具 运 行 固 件 F i r m a d y n e 是 一 款 自 动 化 和 可 裁 剪 的 嵌 入 式 L i n u x 系 统 固 件 分 析 框 架 ， 它 支 持 系 统 固 件 逆 向 Q E M U 嵌 入 式 系 统 模 拟 执 行 ， 使 用 其 可 模 拟 路 由 器 固 件 、 执 行 路 由 器 。 安 装 和 使 用 方 法 详 见 h t t p s : / / g i t h u b . c o m / f i r m a d y n e / f i r m a d y n e 。 注 意 ： F i r m a d y n e 安 装 之 前 ， 先 安 装 f i r m w a r e - a n a l y s i s - t o o l k i t ， 安 装 方 法 详 见 h t t p s : / / g i t h u b . c o m / a t t i f y / f i r m w a r e - a n a l y s i s - t o o l k i t ， 安 装 完 成 之 后 在 f i r m w a r e - a n a l y s i s - t o o l k i t 目 录 中 创 建 f i r m a d y n e 目 录 并 下 载 安 装 F i r m a d y n e 。 各 自 全 部 安 装 完 成 后 如 下 所 示 （ 注 意 两 个 工 具 须 完 全 按 照 步 骤 安 装 完 成 ， 否 则 后 续 固 件 运 行 会 出 错 ） ： 首 先 将 f i r m w a r e - a n a l y s i s - t o o l k i t 目 录 下 的 f a t . p y 和 r e s e t . p y 文 件 移 动 到 f i r m a d y n e 目 录 ； 接 着 进 入 f i r m a d y n e 修 改 f i r m a d y n e . c o n f i g 设 置 路 径 如 下 ：
将 固 件 b i n 文 件 拷 贝 至 f i r m a d y n e 目 录 ， 继 续 执 行 以 下 命 令 ： U b u n t u 中 打 开 浏 览 器 ， 输 入 1 9 2 . 1 6 8 . 0 . 1 即 可 访 问 仿 真 路 由 器 ： 2 、 远 程 调 试 、 远 程 调 试 路 由 器 固 件 已 成 功 得 以 运 行 ， 接 下 来 可 以 对 目 标 程 序 进 行 调 试 ， 此 时 可 借 助 物 理 机 中 I D A 进 行 远 程 调 试 （ 当 然 ， I D A 也 可 以 安 装 在 u b u n t u 中 ） 。 调 试 仍 然 有 两 种 思 路 ： ①   在 q e m u   m i p s 虚 拟 机 中 ， 借 助 静 态 g d b s e r v e r 和 远 程 I D A 的 “ r e m o t e   G D B   d e b u g g e r ” 功 能 对 目 标 m i p s 程 序 进 行 动 态 调 试 ， 此 处 需 要 注 意 的 是 静 态 g d b s e r v e r 文 件 格 式 必 须 和 m i p s 系 统 的 大 / 小 端 完 全 对 应 ， 可 用 f i l e 命 令 查 看 固 件 的 相 关 信 息 ： 因 此 须 首 先 交 叉 编 译 得 到 3 2 b i t   M S B 格 式 的 静 态 g d b s e r v e r 文 件 ， 交 叉 编 译 可 用 选 择 O p e n w r t 或 B u i l d r o o t ， 此 处 省 略 。 ②   在 u b u n t u 解 出 固 件 文 件 系 统 后 ， 使 用 c h r o o t 命 令 ， 配 合 q e m u - m i p s - s t a t i c 运 行 目 标 文 件 （ c g i b i n 为 目 标 文 件 ） ， 然 后 附 件 远 程 I D A 进 行 动 态 调 试 ， 首 先 在 u b u n t u 中 执 行 以 下 命 令 ： r m   - r f   i m a g e s * p y t h o n 3   r e s e t . p y s u d o   - u   p o s t g r e s   c r e a t e d b   - O   f i r m a d y n e   f i r m w a r e s u d o   - u   p o s t g r e s   p s q l   - d   f i r m w a r e   <   . / d a t a b a s e / s c h e m a . / s o u r c e s / e x t r a c t o r / e x t r a c t o r . p y   - b   D l i n k   - s q l   c h r o o t   . . / q e m u - m i p s - s t a t i c   - g   1 2 3 5 . / h t d o c s / c g i b i n
接 着 在 物 理 集 中 打 开 I D A 调 试 器 ， 进 行 如 下 操 作 ： 最 终 可 成 功 进 行 远 程 调 试 ： 3 、 漏 洞 分 析 、 漏 洞 分 析 在 路 由 器 运 行 状 态 下 ， 文 件 系 统 中 的 / h t d o c s / c g i b i n 的 g e n a c g i _ m a i n ( ) 函 数 在 U P n P 请 求 处 理 过 程 中 ， 存 在 远 程 执 行 代 码 漏 洞 。 U P n P 是 专 用 网 络 中 设 备 之 间 的 通 信 协 议 ， 实 现 了 智 能 设 备 端 到 端 网 络 连 接 结 构 。 它 也 是 一 种 架 构 在 T C P / I P 和 H T T P 技 术 之 上 的 ， 分 布 式 、 开 放 的 网 络 结 构 ， 以 使 得 在 联 网 的 设 备 间 传 递 控 制 和 数 据 。 U P n P 不 需 要 设 备 驱 动 程 序 ， 因 此 使 用 U P n P 建 立 的 网 络 是 介 质 无 关 的 。 同 时 U P n P 使 用 标 准 的 T C P / I P 和 网 络 协 议 ， 使 它 能 够 无 缝 的 融 入 现 有 网 络 。 构 造 U P n P 应 用 程 序 时 可 以 使 用 任 何 语 言 ， 并 在 任 何 操 作 系 统 平 台 上 编 译 运 行 。
尝 试 静 态 下 使 用 I D A 反 汇 编 c g i b i n 文 件 ， 然 后 F 5 查 看 伪 代 码 ， 发 现 操 作 失 败 ， 故 换 用 G h i d r a ( N S A 发 布 的 、 基 于 J a v a 开 发 的 、 适 用 于 W i n d o w s 、 M a c 和 L i n u x 的 跨 平 台 反 汇 编 工 具 ) ， 发 现 可 快 速 定 位 g e n a c g i _ m a i n ( ) 函 数 并 查 看 伪 码 （ 貌 似 反 汇 编 能 力 优 于 I D A ？ ） ： 从 伪 码 中 可 以 看 到 ， s p r i n t f ( ) 函 数 设 置 了 一 个 包 含 所 有 值 的 缓 冲 区 ， 其 中 函 数 参 数   ? s e r v i c e = 及 其 值 ， 被 x m l d b c _ e p h p ( ) 函 数 ( 最 后 调 用 s e n d ( ) ) 将 “ b u f f e r _ 8 ” 中 包 含 的 数 据 发 送 给 P H P ： 可 看 出 s p r i n t f ( ) 用 于 连 接 多 个 变 量 的 值 ， 用 于 填 充 一 个 缓 冲 区 ， 设 置 要 传 递 的 新 变 量 ， 其 中 S H E L L F I L E 将 以 格 式 % s % d . s h 进 行 传 递 ， 主 要 用 于 为 新 的 s h e l l 脚 本 命 名 。 缓 冲 区 中 的 数 据 经 过 x m l d b c _ e p h p 处 理 ， 由 P H P 文 件 r u n . N O T I F Y . p h p 进 行 处 理 ， 如 下 ： 程 序 的 调 用 流 程 为 ： b u f _ 8   - > x m l d b c _ e p h p - > F U N _ 0 0 4 1 4 2 0 c   - > F U N _ 0 0 4 1 3 7 2 c   - >   s o c k e t 。 关 于 r u n . N O T I F Y . p h p 内 容 ：
其 中 可 见 调 用 了 P H P 函 数   G E N A _ s u b s c r i b e _ n e w ( ) ， 并 传 递 c g i b i n 程 序 中 g e n a c g i _ m a i n ( ) 函 数 获 得 的 变 量 ， 还 包 括 变 量 S H E L L _ F I L E 。 搜 索 G E N A _ s u b s c r i b e _ n e w ( ) 发 现 其 定 义 在 g e n a . p h p 文 件 中 ， 分 析 G E N A _ s u b s c r i b e _ n e w 功 能 可 知 其 并 不 修 改 $ s h e l l _ f i l e 变 量 ， 其 传 递   $ s h e l l _ f i l e 到 G E N A _ n o t i f y _ i n i t 函 数 ， 也 就 是 s h e l l _ f i l e 最 终 处 理 的 地 方 ： 通 过 调 用 P H P 函 数 f w r i t e ( ) 创 建 新 文 件 ， 且 f w r i t e ( ) 函 数 被 使 用 了 两 次 ： f w r i t e ( ) 函 数 第 一 次 创 建 文 件 ， 文 件 名 由 可 控 的 S H E L L _ F I L E 变 量 ( u r i _ s e r v i c e ) 以 及 g e t p i d ( ) 组 成 ： 第 二 次 调 用 f w r i t e ( ) 向 文 件 中 添 加 删 除 命 令 ” r m   - f ” . $ s h e l l _ f i l e . ” n ” ， 攻 击 时 ， 只 需 要 插 入 一 个 反 引 号 包 裹 的 系 统 命 令 ， 将 其 注 入 到 s h e l l 脚 本 中 ， 当 脚 本 执 行 r m 命 令 时 遇 到 反 引 号 将 失 败 ， 继 续 执 行 引 号 里 面 的 系 统 命 令 ， 从 而 达 到 远 程 命 令 执 行 漏 洞 的 触 发 。 因 此 ， 控 制 好 ” / g e n a . c g i ? s e r v i c e = s h e l l _ f i l e ” 中 s h e l l _ f i l e 的 内 容 为 反 引 号 包 裹 的 系 统 命 令 ， 就 可 以 触 发 漏 洞 。 4 、 漏 洞 重 现 、 漏 洞 重 现 根 据 漏 洞 原 理 ， 执 行 以 下 P o C 脚 本 ： 由 此 可 见 漏 洞 利 用 后 ， 目 标 路 由 器 的 t e l n e t d 服 务 被 开 启 ， 获 得 维 持 访 问 s h e l l 。
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： w w 5 4 6 6 0 6 4 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理