在这篇文章中，我将讨论我最近的发现，同时对家庭路由器进行脆弱性研究：TP-Link的WR940N家庭WiFi路由器。

这篇文章将概述识别易受攻击的代码路径的步骤，以及如何利用这些路径来获取远程执行代码。我将首先描述我如何发现第一个漏洞，为开发完整的漏洞利用所采取的方法，然后通过显示此漏洞提供了一个“模式”，从而将该设备暴露给数百个漏洞。

我进行这项研究的设备是TP-Link的WR940N家庭WiFi路由器（硬件版本4）。一般来说，在物联网（IoT）设备开始研究周期时，我所做的第一件事是抓住固件的副本并提取文件系统。

固件链接：https://static.tp-link.com/TL-WR940N(US)_V4_160617_1476690524248q.zip

我们可以在这里看到二进制文件已经识别和提取文件系统。下一步是收集有关设备上运行的信息的几点信息。首先，我抓住影子文件的内容（很快你就会知道我这么做的原因）。

我研究过的大多数嵌入式系统都使用busybox，所以重要的是要看到我们可以运行什么，我们应该找到一些形式的shell注入。有两种方法可以做到这一点：一个将列出所有符号链接到busybox。但是，我喜欢在chrooted环境下运行qemu下的busybox二进制文件，因为它会告诉我们它启用了哪些实用程序：

虽然没有telnetd，netcat等。但是，我们有tftp，我们可以使用，如果我们能够获得shell注入。最后，快速查看rc.d / rcS显示，路由器启动时最后一件事情是运行httpd二进制文件，我以为我会从这里开始，因为HTTP守护进程通常会显示一个大的攻击面。

如上所述，如果我将用户输入提供给比JavaScript代码允许的接口更大的接口，则HTTP服务将会崩溃。

在IDA中打开二进制文件，清楚地显示了正在发生的事情，从sub_453C50开始，典型的检查请求的功能是有效和经过身份验证的：

接下来，调用httpGetEnv，请注意，像“ping_addr”，“isNew”等值是通过GET参数传递的值。然后再来（仍然在同一个函数），ipAddrDispose被调用：

此功能是（第一）漏洞存在的位置。在函数开始时，将声明一个堆栈变量var_AC。然后将它作为目标参数传递给对strcpy的调用，这里的问题是源参数（$ s1）是函数的第一个参数，并且没有对其长度进行验证，这是一个经典的缓冲区溢出。

我写了一个快速的python脚本来触发漏洞 - 注意登录功能。当我们登录到此设备时，会生成随机URL。

参考：http://cdn.imgtec.com/mips-training/mips-basic-training-course/slides/Caches.pdf

正如我发现的许多在线资源所述，刷新缓存的最佳方式是将ROP调入睡眠状态。触发该漏洞后，我将最终进行两次呼叫，一次直接进入休眠状态，第二次，我的解码器完成了以不良字节解码指令（稍后再说）。

要确定要使用哪些小工具，我们必须确定可执行哪些库及其所在的地址（请注意，默认情况下不启用ASLR）。

LibuClibC-0.9.30.so看起来像一个好的目标，在IDA中打开它，并使用http://www.devttys0.com/2013/10/mips-rop-ida-plugin/中的mipsrop.py脚本，我们可以开始寻找小工具。

首先，我们需要一个小工具：

这是我用来唤醒sleep的gadget  它的地址将覆盖ipAddrDispose的返回地址。

我们需要的下一个 gadget（将放入$ s1）需要调用sleep，但在它需要将我们要睡眠后调用的小工具的地址放在ra中。我们可以使用mipsrop.tail（）来找到这样的小工具

这个 gadget 运行良好，这里唯一要注意的是它会在第一次运行时自动调用它。

第一次被调用时，$ s1将包含0x2AE3840，将用作$ t9中的地址跳转。要让这个小工具正常工作，我们需要准备堆栈，在第一次调用时，我们需要将sleep地址放在$ s1中，因此需要在0x20（$ sp）。在第二次调用gadget时，$ t9将具有sleep地址，我们需要将要调用的下一个gadget的地址设置为0x24（$ sp），然后我们可能需要填写$ s0和$ s1与我们的最终gadget（将跳转到我们的shellcode）

这给了我们以下payload：

当这个漏洞运行时，我们最后会停在sled(滑板指令上)，唯一要做的就是：写一些shellcode，识别坏字符，并将<decode> + <sleep> + <编码shellcode>附加到漏洞。

我发现唯一不好的字节是0x20，然而0x00也是必须要处理的。

我努力使任何典型的有效载荷正常工作，msf_venom将无法使用mips / long_xor编码。我也无法获得 bowcaster 的有效载荷。我以前没有写过mips shellcode，所以我决定写一个非常简单的编码器，它只能通过引用它们在堆栈上的偏移来对具有不良字节的指令进行操作。

这显然不是最有效的做事方式，因为它需要在堆栈上找到每个坏字节的偏移量

（幸运的是，mips是4字节对齐的指令，因此每个偏移是4的倍数）。它还需要计算每个坏字节指令的编码值。可以说这就完美了

写一个bind shell的shellcode非常简单。

请注意，如果我们在调用execve后没有调用sleep，原始进程将会死机，从而导致所有其他httpd进程死机，从而阻止我们访问bind shell。

此漏洞的最终漏洞利用如下：

对于供应商的信用，他们在几天内为第一个漏洞提供了补丁。但是，在我的回答中，我概述了几乎所有这些对strcpy的调用都需要用更安全的字符串复制功能替代。为了证明这一点，我决定开发第二个漏洞，通过dnsserver2参数触发WanStaticIpV6CfgRpm.htm中的缓冲区溢出。

这个漏洞与以前一样，在自定义编码器中只有一个偏移量改变（因为堆栈指针指向不同的位置）。唯一的主要区别是我在Mips exploit开发研究中没有遇到的问题，这是一个字节对齐。在开发这个漏洞的时候，我不断收到非法的指令错误，我注意到，我的nop sled看起来不像以前那样：

注意所有指令是否相隔2个字节。这样做的原因实际上在于我的有效载荷：

这个缓冲区的结尾有一个我没有指定的输入，强制有效载荷结束对齐。事实证明，即使这是最后，我需要填补最终的有效载荷，使其恢复对齐，一旦完成，那么它的应用应该是：

我们得到我们的绑定shell：

最终的代码包含两个漏洞的工作漏洞如下：

（请注意，在第二个exp中，几乎所有的GET参数都容易受到缓冲区溢出的影响）

为了补丁这些漏洞，供应商需要用更安全的操作（如strncpy）来代替大部分对strcpy的调用。为了他们的信誉，他们非常快地实现了这一点，并在一周内提供了一个补丁，报告其他脆弱的代码区域。我将快速分析所制作的补丁。

首先要做的最简单的事情就是看看strcpy的交叉引用，从脆弱的二进制文件中我们有700多个调用，在修补版本中，我们可以看到不再是这样：

对这些位置的进一步分析显示，这些调用不对用户输入进行操作，例如：

现在，如果我们分析一个我们知道的区域是易受攻击的，例如dnsserver2 GET参数：

为了快速参考

$ a0 = dest，$ a1 = src，$ a2 = size 所以接下来我们可以看到：

否则，返回的指针被移动到$ a1。大小0x2C加载到$ a2中。目的地已经在$ a0。之后，根据httpGetEnv的结果，调用memset或strncpy（通过$ t9）。

我们可以看到，这不允许发生缓冲区溢出，因为只能将最大数量的字节复制到缓冲区中。请注意，var_24F是一个大小为0x2C的基于堆栈的缓冲区。事实上，我们现在可以看到，提供给供应商的易受攻击的模式已被一个安全模式所取代。因此，修补程序通过在用户提供的输入上删除对strcpy的调用来正确保护缓冲区溢出。

使用的工具：

Binwalk

IDA

QEMU

mipsrop.py插件

USB 2.0至TTL UART 6PIN CP2102模块串行转换器

参考文档

https://wiki.openwrt.org/toh/tp-link/tl-wr940n 

http://static.tp-link.com/TL-WR940N(US)_V4_160617_1476690524248q.zip 

http://www.devttys0.com/2012/10/exploiting-a-mips-stack-overflow/ 

http://cdn.imgtec.com/mips-training/mips-basic-training-course/slides/Caches.pdf 

 http://www.devttys0.com/2013/10/mips-rop-ida-plugin/

时间线

向供应商披露 - 11/8/2017

供应商的回应，初步咨询要求 - 14/8/2017

初步咨询 - 14/8/2017

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)