某达路由器测试-IoT安全-看雪安全社区｜专业技术交流与安全研究论坛

某达路由器测试

发表于: 2022-4-27 17:57 34219

某达路由器测试

p1yang

2022-4-27 17:57

34219

分析这款是某某路由器A1206，固件是比较早的未加密的那个。

都是些个人学习过程中的思考与知识，整理下来。

固件在这：`<mark class="encrypted">5a9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6H3x3i4W2S2L8X3N6Q4x3X3g2Y4K9i4c8Z5N6h3u0Q4x3X3g2A6L8#2)9J5c8U0t1H3x3U0u0Q4x3V1j5H3y4q4)9J5c8U0t1J5i4K6u0r3K9h3!0@1i4K6u0r3i4K6j5H3</mark>

# 前期准备

都是些老生常谈的东西可以跳过。

这里使用的qemu-user，方便

至于分析的文件在下面思路中会聊到，这里环境模拟启动的是/bin/httpd 文件

复现环境是qemu+ghidra(反编译伪代码，我个人比较习惯ghidra的伪代码)+ida7.5(动态调试)

binwalk解包，文件格式，qemu-user模式启动等这些就不赘述，主要说几个环境模拟时的几个小问题。

## 问题1

![image-20220422093901642](upload/attach/202204/934060_WSVXRQCEJ87RDR7.jpg)

第一次运行时爆出这个错误停止。string大法发现在main中

![image-20220422094037256](upload/attach/202204/934060_EBR7WKDM66T4RZD.jpg)

`apmib_init`函数从flash中读取mib值到RAM中，像这种模拟是办不到的东西，直接patch代码或更改寄存器值来绕过(尝试了下没办法直接patch代码，可以试试patch机器码，比较麻烦，我就直接改寄存器了)

在mips的判断是bne，btgz等，将断点下在他们上，他们通常依靠v0寄存器的值来做判断。

![image-20220422094858896](upload/attach/202204/934060_F7PGQZ7A99B8TJC.jpg)

此时v0值为0，改为1跳过

![image-20220422095038420](upload/attach/202204/934060_YMRGD9VSMKBADY7.jpg)

## 问题2

这里陷入个死循环，问题点在

![image-20220422101918935](upload/attach/202204/934060_MT55ZCGU5AQ92PV.jpg)

![image-20220422102003495](upload/attach/202204/934060_FWZKYR6HURJS9Q8.jpg)

也尝试更改寄存器v0的值成功绕过。

## 问题3

![image-20220422095242595](upload/attach/202204/934060_3VH89ZPTDKWEBP9.jpg)

继续string大法

![image-20220422095310053](upload/attach/202204/934060_NC2QA677YYMW3QP.jpg)

抱歉这里我并没有查到这个函数的是干什么的，有清楚的请告诉我，提前感谢。

不影响，改寄存器大法。

![image-20220422095958809](upload/attach/202204/934060_AXZB8T5YCQGHH89.jpg)

## 问题4

上面没问题之后发现ip开在`255.255.255.255`上。

![image-20220422102645100](upload/attach/202204/934060_N9893UCKTERY4KS.jpg)

string大法搜 listen ip

![image-20220422103034994](upload/attach/202204/934060_T25WG4DAUTQ25KY.jpg)

`inet_ntoa`函数的意思是，功能是将网络地址转换成“.”点隔的字符串格式。

所以跟sockaddr.sin_port有关，查看引用

![image-20220422103359077](upload/attach/202204/934060_2BUH8F8QJUE88RD.jpg)

`inte_addr` 功能是将一个点分十进制的IP转换成一个长整型数（u_long类型）等同于*inet_addr*()。

与host有关，再向前查看

![image-20220422103859404](upload/attach/202204/934060_YC2H8XHGNJVV3J9.jpg)

其参数为全局变量 g_lan_ip。设置个lanip

> sudo tunctl -t br0 -u ‘用户名’
>
> sudo ifconfig br0 192.168.5.1/24

ps eth1就是第二块网卡第一块通常是eth*0* *tap*是虚拟网络接口 *br*是网桥

这个设置完之后问题2直接解决了。

![image-20220422110341615](upload/attach/202204/934060_3GWCT8SMP7NT57G.jpg)

![image-20220422110418896](upload/attach/202204/934060_B2EBRYFXZQM47WY.jpg)

# 分析思路

分析其使用的web服务器，常见的嵌入式有以下几种：httpd，uhttpd，gohead，lighttpd，boa

还有其他的，我没咋见过，就不写了，用到的话自行查阅（懒！）

我分析这款使用的是httpd，在bin目录下，一般服务器文件都在一下几个目录，不排除其他目录

```
/user/bin/

/user/sbin/

/bin/
```

在逆向分析httpd时，尽量关注一些自定义功能代码，main下调用的initwebs函数中，配置了前端访问方式

![image-20220422112301584](upload/attach/202204/934060_QWYURG8FJNAQS3S.jpg)

可以看到默认页面main，

![image-20220422112355613](upload/attach/202204/934060_GE7K4ATCV5J2Z3D.jpg)

`websSetPassword`设置访问口令，不多说各位调试的时候可以关注一下。

`websUrlHandlerDefine`需要关注，这个函数的意思是什么样的url交给谁处理。

上面说了`尽量关注一些自定义功能代码`

这里的自定义功能代码就在`formDefineTendDa`中

![image-20220422113423088](upload/attach/202204/934060_NNJZJNJBAD9DFVW.jpg)

上面这些都是通过`goform`来处理的，所以其访问形式为 <mark class="encrypted">a2eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5J5y4#2)9J5k6e0m8Q4x3X3f1H3i4K6u0W2x3g2)9K6b7e0R3H3i4K6u0r3k6$3!0X3L8%4u0E0i4K6u0r3g2r3g2F1k6r3q4s2k6i4c8x3L8$3&6Y4f1%4c8J5K9h3&6Y4i4@1f1^5i4@1u0r3i4K6V1&6i4@1f1$3i4@1p5H3i4@1t1%4i4@1f1%4i4K6W2m8i4K6R3@1</mark>

哪个路径就交由哪个函数来处理。

下面分析可以由两方面展开：

分析各个功能点

>  简单来说就是将所有接口的代码过一遍，去分析参数从哪里来，有没有经过什么危险函数

这种的话效率比较低，我个人推荐第二种

通过危险函数来查找可利用点，利用逆向分析工具的交叉编译功能查找

这里放一张危险函数表

dosystemcmd

system

![](upload/attach/202204/934060_FH3WHMZKJ7HHTMS.jpg)根据上面的函数表来将危险函数过一下

下面是之前分析到的两个问题的思路，住这里不涉及exp，poc等脚本的编写，还是以思路为主。

## 命令执行

过一遍dosystemcmd函数

![image-20220422141922087](upload/attach/202204/934060_6SBM7CMGZSF6M4N.jpg)

可以看到有145次调用，感觉有漏洞的几率还是挺大的

注意点，尽量找form这类的函数，即上面说的自定义功能，有前后端交互

且危险函数的参数来自于前端参数

![image-20220422142703774](upload/attach/202204/934060_2J8WFZQ6JXNCVF8.jpg)

`websGetVar`就是从wp中获取其第二个参数对应的值，如果没有该参数，值默认为第三个参数。

上面可以看到这里pcVar1未作任何处理直接拼接到参数中。

这里就产生了命令执行，不多做赘述，各位有兴趣可自行复现。

## 溢出

溢出是在strpintf函数的调用中发现的。

goform/NatStaticSetting路径访问到fromNatStaticSetting函数

![img](upload/attach/202204/934060_7YQJKDYNNSW3GMX.jpg)

sprintf函数将page的参数给拼接到字符串中，未做长度校验，导致溢出

![img](upload/attach/202204/934060_UT3995GSV5ABMPW.jpg)

复现过程：

断点到fromNatStaticSetting函数入口

![img](upload/attach/202204/934060_EPZYHH9787JV9B3.jpg)

将调用fromNatStaticSetting函数的返回地址放入0x407FFAE4	处

向下执行到第三个websGetVar函数获取page参数，然后向下执行sprintf函数，将page参数的内容拼接到gotopage内，由代码可知长度为256

参数初始化完毕后发现gotopage位置为0x407FF9E0

这里我们传入page参数为：

```
page=aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaakaaalaaamaaanaaaoaaapaaaqaaaraaasaaataaauaaavaaawaaaxaaayaaazaabbaabcaabdaabeaabfaabgaabhaabiaabjaabkaablaabmaabnaaboaabpaabqaabraabsaabtaabuaabvaabwaabxaabyaabzaacbaaccaacdaaceaacfaacgaachaaciaacjaacAAAA
```

执行完后

![img](upload/attach/202204/934060_XNHTRR85VDAGRE6.jpg)

返回地址0x407FFAE4已经被AAAA覆盖。

上面是一些思路之类的东西，第一个命令执行晚了几天。

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2022-4-28 10:17 被p1yang编辑，原因：

#固件分析 #漏洞挖掘 #家用设备

收藏・13

点赞・10

打赏

打赏 + 50.00雪花

Editor

打赏次数 1

雪花 + 50.00

Editor

+50.00

2022/05/26

恭喜您获得“雪花”奖励，安全圈有你而精彩！

最新回复 (12)
e*16 a 雪币： 4440 活跃值： (6432) 能力值： ( LV8，RANK：120 ) 在线值：发帖 7 回帖 43 粉丝 38 关注私信	e*16 a 2 2 楼我来啦，终于发文了 2022-4-28 15:25 1
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 3 楼 e*16 a 我来啦，终于发文了好哥哥，带带我 2022-4-28 15:44 1
pureGavin 雪币： 18164 活跃值： (21414) 能力值： ( LV12，RANK：310 ) 在线值：发帖 104 回帖 1466 粉丝 324 关注私信	pureGavin 3 4 楼感谢分享，其实文中的问题可以靠买真实路由器设备解决，我就是75块钱入了一个二手的tenda AC15 2022-4-28 16:10 1
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 5 楼 pureGavin 感谢分享，其实文中的问题可以靠买真实路由器设备解决，我就是75块钱入了一个二手的tenda AC15 节省成本，穷 2022-4-29 22:28 0
pureGavin 雪币： 18164 活跃值： (21414) 能力值： ( LV12，RANK：310 ) 在线值：发帖 104 回帖 1466 粉丝 324 关注私信	pureGavin 3 6 楼 p1yang 节省成本，穷[em_13] IOT这东西本来就是需要搞不少设备的，我已经自己自费买了不少设备了，杜邦线啥的都还好，就是路由器那种的比较贵，淦…… 2022-4-30 23:32 0
我是EP 雪币： 220 活跃值： (35) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	我是EP 7 楼没记错的话，connectcfm是在libcfm.so里面实现的 2022-5-5 01:02 0
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 8 楼我是EP 没记错的话，connectcfm是在libcfm.so里面实现的[em_88] 我去查一下，谢谢哥哥！！！ 2022-5-5 09:12 0
wx_没有彩虹的阳光雪币： 242 活跃值： (415) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 1 关注私信	wx_没有彩虹的阳光 9 楼大佬，我刚来，最上方的固件地址404了 2022-5-8 23:26 0
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 10 楼 wx_没有彩虹的阳光大佬，我刚来，最上方的固件地址404了放错了，你用这个，a26K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8W2k6g2)9J5k6h3y4G2L8g2)9J5c8Y4l9I4M7r3W2&6j5h3&6Y4i4K6u0r3j5X3q4U0K9%4N6S2M7X3c8Q4x3X3c8S2L8X3q4D9P5i4y4A6M7H3`.`. 2022-5-9 11:04 0
mb_htwtewjt 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_htwtewjt 11 楼师傅，按照你的方法我web起来后还是有问题一直是Unsupported setsocket 最后于 2022-9-27 21:17 被mb_htwtewjt编辑，原因： 2022-9-27 21:16 0
Julian__ 雪币： 14 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	Julian__ 12 楼笔者与我习惯一样，用ghidra来静态分析，ida来动调，就是ghidra的地址不是那么准。 2025-9-18 15:04 0
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 13 楼 mb_ohjamvjn 笔者与我习惯一样，用ghidra来静态分析，ida来动调，就是ghidra的地址不是那么准。其实当时更习惯用ida，但是公司刚让hexray代理公司发了个函，那段时间没得用，现在主要还是ida，ghidra对小屏幕实在是不友好 2025-10-21 19:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

p1yang

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (12)
e*16 a 雪币： 4440 活跃值： (6432) 能力值： ( LV8，RANK：120 ) 在线值：发帖 7 回帖 43 粉丝 38 关注私信	e*16 a 2 2 楼我来啦，终于发文了 2022-4-28 15:25 1
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 3 楼 e*16 a 我来啦，终于发文了好哥哥，带带我 2022-4-28 15:44 1
pureGavin 雪币： 18164 活跃值： (21414) 能力值： ( LV12，RANK：310 ) 在线值：发帖 104 回帖 1466 粉丝 324 关注私信	pureGavin 3 4 楼感谢分享，其实文中的问题可以靠买真实路由器设备解决，我就是75块钱入了一个二手的tenda AC15 2022-4-28 16:10 1
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 5 楼 pureGavin 感谢分享，其实文中的问题可以靠买真实路由器设备解决，我就是75块钱入了一个二手的tenda AC15 节省成本，穷 2022-4-29 22:28 0
pureGavin 雪币： 18164 活跃值： (21414) 能力值： ( LV12，RANK：310 ) 在线值：发帖 104 回帖 1466 粉丝 324 关注私信	pureGavin 3 6 楼 p1yang 节省成本，穷[em_13] IOT这东西本来就是需要搞不少设备的，我已经自己自费买了不少设备了，杜邦线啥的都还好，就是路由器那种的比较贵，淦…… 2022-4-30 23:32 0
我是EP 雪币： 220 活跃值： (35) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	我是EP 7 楼没记错的话，connectcfm是在libcfm.so里面实现的 2022-5-5 01:02 0
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 8 楼我是EP 没记错的话，connectcfm是在libcfm.so里面实现的[em_88] 我去查一下，谢谢哥哥！！！ 2022-5-5 09:12 0
wx_没有彩虹的阳光雪币： 242 活跃值： (415) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 1 关注私信	wx_没有彩虹的阳光 9 楼大佬，我刚来，最上方的固件地址404了 2022-5-8 23:26 0
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 10 楼 wx_没有彩虹的阳光大佬，我刚来，最上方的固件地址404了放错了，你用这个，a26K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8W2k6g2)9J5k6h3y4G2L8g2)9J5c8Y4l9I4M7r3W2&6j5h3&6Y4i4K6u0r3j5X3q4U0K9%4N6S2M7X3c8Q4x3X3c8S2L8X3q4D9P5i4y4A6M7H3`.`. 2022-5-9 11:04 0
mb_htwtewjt 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_htwtewjt 11 楼师傅，按照你的方法我web起来后还是有问题一直是Unsupported setsocket 最后于 2022-9-27 21:17 被mb_htwtewjt编辑，原因： 2022-9-27 21:16 0
Julian__ 雪币： 14 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	Julian__ 12 楼笔者与我习惯一样，用ghidra来静态分析，ida来动调，就是ghidra的地址不是那么准。 2025-9-18 15:04 0
p1yang 雪币： 423 活跃值： (2059) 能力值： ( LV6，RANK：80 ) 在线值：发帖 8 回帖 36 粉丝 36 关注私信	p1yang 1 13 楼 mb_ohjamvjn 笔者与我习惯一样，用ghidra来静态分析，ida来动调，就是ghidra的地址不是那么准。其实当时更习惯用ida，但是公司刚让hexray代理公司发了个函，那段时间没得用，现在主要还是ida，ghidra对小屏幕实在是不友好 2025-10-21 19:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复