搜索

[28942] 2021-05-16_D-Link路由器CVE-2021-27342漏洞记录

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-05-16_D-Link路由器CVE-2021-27342漏洞记录 D - L i n k 路 由 器 C V E - 2 0 2 1 - 2 7 3 4 2 漏 洞 记 录 G U Y   O t s 安 全   2 0 2 1 - 0 5 - 1 6 我 最 近 买 了 一 个 新 的 D I R - 8 4 2 家 用 路 由 器 ， 并 立 即 （ 就 像 任 何 黑 客 一 样 ） 开 始 玩 弄 它 - 在 弹 开 外 壳 之 前 ， 我 不 能 称 呼 它 为 我 的 。 我 很 快 发 现 我 可 以 通 过 a d m i n   W e b   g u i 启 用 t e l n e t ， 然 后 用 a d m i n 用 户 连 接 到 t e l n e t 。 但 这 太 简 单 了 ， 所 以 让 我 们 看 看 是 否 可 以 找 到 错 误 / 漏 洞 。 轻 松 获 得 外 壳 我 继 续 在 路 由 器 的 t e l n e t 实 施 中 寻 找 错 误 ， 因 为 它 是 一 个 有 吸 引 力 的 目 标 ： 它 是 可 远 程 访 问 的 ， 并 且 如 先 前 以 系 统 管 理 员 身 份 进 行 连 接 所 了 解 的 那 样 ， 它 以 高 特 权 运 行 。 另 外 ， 我 没 有 寻 找 内 存 损 坏 漏 洞 ， 而 是 着 重 于 发 现 一 个 更 容 易 利 用 的 逻 辑 漏 洞 。 C V E - 2 0 2 1 - 2 7 3 4 2 蛮 力 保 护 旁 路 蛮 力 保 护 旁 路 路 由 器 的 t e l n e t 身 份 验 证 受 到 反 蛮 力 机 制 的 保 护 ， 该 机 制 通 过 延 迟 失 败 登 录 的 “ 拒 绝 访 问 ” 响 应 来 限 制 攻 击 者 的 密 码 猜 测 速 度 。 但 是 ， 这 种 保 护 措 施 的 实 施 为 基 于 定 时 的 边 信 道 攻 击 打 开 了 大 门 。 由 于 仅 对 于 无 效 登 录 会 有 延 迟 的 响 应 ， 因 此 攻 击 者 可 以 发 送 t e l n e t 登 录 请 求 ， 然 后 仅 等 待 例 如 0 . 0 5   （ 1 ） 秒 才 能 确 定 密 码 是 否 正 确 。 如 果 登 录 凭 据 有 效 ， 则 会 立 即 发 送 回 “ 欢 迎 ” 响 应 。 否 则 ， 如 果 密 码 不 正 确 ， 则 不 会 发 回 任 何 信 息 。 因 此 ， 在 0 . 0 5 秒 后 ， 攻 击 者 会 知 道 密 码 是 否 正 确 ， 如 果 密 码 不 正 确 ， 则 攻 击 者 可 以 创 建 一 个 新 连 接 以 立 即 尝 试 另 一 个 密 码 。 这 会 绕 过 两 次 失 败 的 登 录 尝 试 之 间 的 预 期 3 秒 钟 冷 却 时 间 。
G i t H u b 上 的 概 念 证 明 h t t p s : / / g i t h u b . c o m / g u y w h a t a g u y / D - L i n k - C V E - 2 0 2 1 - 2 7 3 4 2 - e x p l o i t / b l o b / m a i n / d l i n k - t e l n e t - e x p l o i t - C V E - 2 0 2 1 - 2 7 3 4 2 . p y 供 应 商 网 站 上 带 有 路 由 器 规 格 的 产 品 页 面 。 已 修 复 此 漏 洞 ， 供 应 商 网 站 上 提 供 了 更 新 。 （ 1 ） 0 . 0 5 秒 在 我 的 路 由 器 设 置 上 始 终 如 一 地 工 作 。 此 数 字 可 能 需 要 根 据 您 的 网 络 延 迟 进 行 调 整 。   更 详 细 的 路 由 器 更 详 细 的 路 由 器 T e l n e t 冒 险 冒 险 我 通 过 黑 盒 测 试 发 现 了 此 漏 洞 ， 但 也 渴 望 在 路 由 器 的 代 码 中 看 到 该 漏 洞 。 好 吧 ， 在 这 种 情 况 下 ， 很 可 能 是 它 的 组 装 。 这 是 关 于 希 望 为 我 的 研 究 方 法 提 供 概 述 的 读 者 的 我 的 研 究 过 程 。 首 先 ， 通 过 t e l n e t 外 壳 程 序 ， 我 用 p s 查 看 了 正 在 运 行 的 进 程 ， 发 现 t e l n e t d 是 t e l n e t 守 护 程 序 可 执 行 文 件 的 名 称 （ 非 常 标 准 ） 。 接 下 来 ， 我 跑 了 递 归 文 件 从 根 目 录 与 上 市 l s   - R   /   t o   f i n d   t e l n e t d   a t   / u s r / s b i n / t e l n e t d . 。 最 后 ， 我 将 文 件 复 制 到 自 己 的 计 算 机 上 以 进 行 I D A 娱 乐 和 分 析 。 路 由 器 没 有 n c   /   s c p   / f t p 或 其 他 文 件 传 输 工 具 ， 因 此 我 使 用 了 h e x d u m p   - v e ' 1 / 1 “ ％ . 2 x ” ' /   u s r   /   s b i n   /   t e l n e t d 并 将 输 出 复 制 粘 贴 到 h e x 编 辑 器 中 ， 然 后 将 其 另 存 为 新 文 件 - 这 并 不 愚 蠢 如 果 可 行 ！
如 果 可 行 的 话 这 并 不 愚 蠢 用 I D A 分 解 可 执 行 文 件 后 ， 我 寻 找 了 外 部 参 照 可 睡 眠 。 我 就 是 这 样 ， 而 且 我 认 为 其 他 程 序 员 也 会 天 真 地 实 施 暴 力 延 迟 。 头 奖 ！ 我 找 到 了 一 个 可 以 轻 松 封 装 睡 眠 的 函 数 - 我 将 其 称 为 如 下 图 所 示 的 s l e e p _ z z z _ n a p _ t i m e 函 数 。 警 告 ， M I P S 代 码 在 发 送 “ 登 录 不 正 确 ” 响 应 之 前 ， 从 登 录 处 理 函 数 调 用 s l e e p _ z z z _ n a p _ t i m e ：
进 一 步 证 实 这 是 确 实 是 负 责 延 迟 的 代 码 中 ， 3 则 传 递 到 s l e e p _ z z z _ n a p _ t i m e   3 秒 的 等 待 时 间 试 图 登 录 使 用 不 正 确 的 密 码 后 ， 相 匹 配 。 在 探 索 路 由 器 的 程 序 和 文 件 系 统 时 ， 我 还 复 制 了 W e b 服 务 器 的 二 进 制 文 件 和 配 置 文 件 ， 这 可 能 对 以 后 对 该 路 由 器 的 研 究 很 有 用 。 直 到 下 一 次 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理