酷应用

关于路由器的CGI漏洞分析及挖掘

百家作者：Chamd5安全团队 2021-08-17 08:48:19

本文主要记述了CGI的含义，以及常见网络设备中使用的CGI框架与流程，最后通过DLINK和Netgear两款路由器的CGI漏洞介绍当前常见的CGI漏洞挖掘和分析流程。

CGI是什么

到目前为止，实现动态Web页面有4种技术可供选择：CGI，ASP，PHP和JSP。本节记述关于路由器CGI相关知识。

早期的Web服务器，只能响应浏览器发来的HTTP静态资源的请求，并将存储在服务器中的静态资源返回给浏览器。随着Web技术的发展，逐渐出现了动态技术，但是Web服务器并不能够直接运行动态脚本，为了解决Web服务器与外部应用程序（CGI程序）之间数据互通，于是出现了CGI（Common Gateway Interface）通用网关接口。简单理解，可以认为CGI是Web服务器和运行其上的应用程序进行“交流”的一种约定。
CGI不是一门编程语言。它是网页的表单和你写的程序之间通信的一种协议。可以用任何语言写一个CGI脚本，这些语言只要能接收输入输出信息，读取环境变量。所以，几乎所有的编程语言都能写一个CGI脚本，例如：python ，C，甚至是shell脚本。

典型的CGI脚本做了如下的事情：

读取用户提交表单的信息
处理这些信息
输出，返回html响应

设备CGI分析

目前IOT设备主要有三个WebServer：httpd，thttpd和Boa。httpd是最简单的一个Web Server，它的功能最弱，不支持认证，不支持CGI。Thttpd和Boa都支持认证、CGI等，功能都比较全。

Boa

Boa 是一个单任务的http服务器，源代码开放、性能高。Boa 是一个单任务 HTTP 服务器。这意味着与传统的 Web 服务器不同，它不会为每个传入的连接 fork，也不会 fork自身的许多副本来处理多个连接。它在内部多路复用所有正在进行的 HTTP 连接，并且只为 CGI 程序（必须是单独的进程）、自动目录生成和自动文件压缩进行 fork。

源码分析

在Boa官网下载源码。
Boa首先会调用 process_option_Iine()将一些头部信息填写到request结构中完成这些环境变量的设置，随后 process_header_end()会对用户进行验证。如果验证通过则判断request结构中的is_cgi，非0则是CGI程序，调用 init_cgi()函数进行处理，为0则是静态页面，调用init_get()函数进行处理。

init_cgi
boa程序在解析请求头的收尾函数process_header_end中，translate_uri函数会解析请求的虚拟路径.

?*?Name:?init_cgi
?*
?*?Description:?Called?for?GET/POST?requests?that?refer?to?ScriptAlias
?*?directories?or?application/x-httpd-cgi?files.??Ties?stdout?to?socket,
?*?stdin?to?data?if?POST,?and?execs?CGI.
?*?stderr?remains?tied?to?our?log?file;?is?this?good?
?*
?*?Returns:
?*?0?-?error?or?NPH,?either?way?the?socket?is?closed
?*?1?-?success

init_cgi首先通过调用 create_common_env()，complete_env()完成对CGI环境变量的设置

translate_uri函数中的init_script_alias函数，负责解析ScriptAlias请求，设置请求cgi类型，查看文件是否存在以及具有相关权限。
然后CGI会execve执行相应的程序。

if?(req->cgi_type)?{
????????????char?*aargv[CGI_ARGC_MAX?+?1];
????????????create_argv(req,?aargv);
????????????execve(req->pathname,?aargv,?req->cgi_env);
????????}?else?{
????????????if?(req->pathname[strlen(req->pathname)?-?1]?==?'/')
????????????????execl(dirmaker,?dirmaker,?req->pathname,?req->request_uri,
??????????????????????(void?*)?NULL);

固件分析

这里分析vivetok摄像头固件，该摄像头的web是基于Boa进行二次开发的。

uhttpd

uHTTPd作为OpenWrt中默认的HTTP服务器，主要是用来配合LuCI Web接口方便OpenWrt设备的管理，luci就是一个网页界面，包含openwrt配置页面。以cgi的方式被web服务器调用并渲染页面，语言采用lua，支持CGI、Lua和UBUS完成对请求的处理。在IoT设备上使用OpenWrt比较常见的情况是，结合uhttpd使用LuCI框架编写lua处理脚本。

源码分析

下载?uhttpd源代码
首先在uh_handle_request中解析接收到的请求头

void?uh_handle_request(struct?client?*cl)
{
????struct?http_request?*req?=?&cl->request;
????struct?dispatch_handler?*d;
????char?*url?=?blobmsg_data(blob_data(cl->hdr.head));
????char?*error_handler,?*escaped_url;

????blob_buf_init(&cl->hdr_response,?0);
????url?=?uh_handle_alias(url);

????uh_handler_run(cl,?&url,?false);
????if?(!url)
????????return;

????req->redirect_status?=?200;
????d?=?dispatch_find(url,?NULL);
????if?(d)
????????return?uh_invoke_handler(cl,?d,?url,?NULL);

????if?(__handle_file_request(cl,?url))
????????return;

????if?(uh_handler_run(cl,?&url,?true))?{
????????if?(!url)
????????????return;

????????uh_handler_run(cl,?&url,?false);
????????if?(__handle_file_request(cl,?url))
????????????return;
????}

????req->redirect_status?=?404;
????if?(conf.error_handler)?{
????????error_handler?=?alloca(strlen(conf.error_handler)?+?1);
????????strcpy(error_handler,?conf.error_handler);
????????if?(__handle_file_request(cl,?error_handler))
????????????return;
????}

????escaped_url?=?uh_htmlescape(url);

????uh_client_error(cl,?404,?"Not?Found",?"The?requested?URL?%s?was?not?found?on?this?server.",
????????????????????escaped_url???escaped_url?:?"");

????if?(escaped_url)
????????free(escaped_url);
}

使用dispatch_find函数根据请求的url找到合适的dispatch_handler,cgi_prefix在/etc/config/uhttpd配置文件中的默认值为/cgi-bin，并且程序在main函数中默认添加了cgi_dispatch,当请求的url通过check_cgi_path函数校验，则会调用cgi_handle_request函数回调cgi_main函数execl执行对应的CGI程序

static?void?cgi_handle_request(struct?client?*cl,?char?*url,?struct?path_info?*pi)
{
????unsigned?int?mode?=?S_IFREG?|?S_IXOTH;
????char?*escaped_url;

????if?(!pi->ip?&&?!((pi->stat.st_mode?&?mode)?==?mode))?{
????????escaped_url?=?uh_htmlescape(url);

????????uh_client_error(cl,?403,?"Forbidden",
????????????????"You?don't?have?permission?to?access?%s?on?this?server.",
????????????????escaped_url???escaped_url?:?"the?url");

????????if?(escaped_url)
????????????free(escaped_url);

????????return;
????}

????if?(!uh_create_process(cl,?pi,?url,?cgi_main))?{
????????uh_client_error(cl,?500,?"Internal?Server?Error",
????????????????"Failed?to?create?CGI?process:?%s",?strerror(errno));
????????return;
????}

????return;
}

struct?dispatch_handler?cgi_dispatch?=?{
????.script?=?true,
????.check_path?=?check_cgi_path,
????.handle_request?=?cgi_handle_request,
};

执行CGI程序：

static?void?cgi_main(struct?client?*cl,?struct?path_info?*pi,?char?*url)
{
????const?struct?interpreter?*ip?=?pi->ip;
????struct?env_var?*var;

????clearenv();
????setenv("PATH",?conf.cgi_path,?1);

????for?(var?=?uh_get_process_vars(cl,?pi);?var->name;?var++)?{
????????if?(!var->value)
????????????continue;

????????setenv(var->name,?var->value,?1);
????}

????if?(!chdir(pi->root))?{
????????if?(ip)
????????????execl(ip->path,?ip->path,?pi->phys,?NULL);
????????else
????????????execl(pi->phys,?pi->phys,?NULL);
????}

????printf("Status:?500?Internal?Server?Error\r\n\r\n"
???????????"Unable?to?launch?the?requested?CGI?program:\n"
???????????"??%s:?%s\n",?ip???ip->path?:?pi->phys,?strerror(errno));
}

CGI漏洞

D-LINK SERVICE.CGI远程命令执行漏洞

2018年1月17日，CNVD公开了D-LinkDIR 615/645/815 service.cgi远程命令执行漏洞（CNVD-2018-01084）。

D-Link DIR 615/645/815路由器1.03及之前的固件版本存在远程命令执行漏洞。该漏洞是由于service.cgi中拼接了HTTP POST请求中的数据，造成后台命令拼接，导致可执行任意命令。

下载固件

先解压，再使用binwalk分析固件

$?unzip?DIR-645_FIRMWARE_1.03.ZIP??
Archive:??DIR-645_FIRMWARE_1.03.ZIP
??inflating:?dir645_FW_103.bin???????

$?binwalk?-Me?dir645_FW_103.bin?

Scan?Time:?????2021-08-12?23:03:41
MD5?Checksum:??12a10a6a2fe96e0b7a50c2babd714e3d
Signatures:????410

DECIMAL???????HEXADECIMAL?????DESCRIPTION
--------------------------------------------------------------------------------
0?????????????0x0?????????????DLOB?firmware?header,?boot?partition:?"dev=/dev/mtdblock/2"
112???????????0x70????????????LZMA?compressed?data,?properties:?0x5D,?dictionary?size:?33554432?bytes,?uncompressed?size:?4237576?bytes
1441904???????0x160070????????PackImg?section?delimiter?tag,?little?endian?size:?3169792?bytes;?big?endian?size:?6172672?bytes
1441936???????0x160090????????Squashfs?filesystem,?little?endian,?version?4.0,?compression:lzma,?size:?6170670?bytes,?2216?inodes,?blocksize:?262144?bytes,?created:?2012-10-09?10:24:09


Scan?Time:?????2021-08-12?23:03:43
MD5?Checksum:??0eab4114d12c97a4a1ff29d0d307d6da
Signatures:????410

DECIMAL???????HEXADECIMAL?????DESCRIPTION
--------------------------------------------------------------------------------
1571792???????0x17FBD0????????MySQL?ISAM?index?file?Version?8
1621686???????0x18BEB6????????PGP?RSA?encrypted?session?key?-?keyid:?801000?4C?RSA?Encrypt-Only?1024b
3149062???????0x300D06????????PGP?RSA?encrypted?session?key?-?keyid:?801000?3A?RSA?Encrypt-Only?1024b
3149250???????0x300DC2????????PGP?RSA?encrypted?session?key?-?keyid:?801000?3A?RSA?Encrypt-Only?1024b
3338272???????0x32F020????????Linux?kernel?version?2.6.33
3398624???????0x33DBE0????????CRC32?polynomial?table,?little?endian
3803284???????0x3A0894????????Neighborly?text,?"NeighborSolicitstunnel6?init():?can't?add?protocol"
3803304???????0x3A08A8????????Neighborly?text,?"NeighborAdvertisementst?add?protocol"
3808047???????0x3A1B2F????????Neighborly?text,?"neighbor?%.2x%.2x.%.2x:%.2x:%.2x:%.2x:%.2x:%.2x?lost?on?port?%d(%s)(%s)"

逆向cgibin

使用IDA逆向cgibin文件

$?file?cgibin???????????????????????????????
cgibin:?ELF?32-bit?LSB?executable,?MIPS,?MIPS32?version?1?(SYSV),?dynamically?linked,?interpreter?/lib/ld-uClibc.so.0,?stripped

查看servicecgi_main函数，我们可以看到servicecgi_main调用了lxmldbc_system函数，

此函数调用了system函数。

接下来该漏洞的成因。
在servicecgi_main中先判断请求的方法，只处理get和post

在servicecgi_main中可以处理EVENT,SERVICE,ACTION三个类型的form表单参数域。servicecgi_main会把这三个表单域参数存储在特定区域，然后进行event,service,action的处理。

在处理event请求时没有对EVENT值做必要的处理，然后进入loc_40D038模块，在模块中调用了lxmldbc_system函数，进而调用了system函数。

而lxmldbc_system会调用system执行command，而且是没有任何过滤的，那就存在命令注入的风险了。

Netgear CVE-2016-6277

NETGEAR R6250在1.0.4.6.Beta之前，R6400在1.0.1.18.Beta之前，R6700在1.0.1.14.Beta，R6900，R7000在1.0.7.6.Beta之前，R7100LG在1.0.0.28.Beta之前，R7300DST在1.0.0.46.Beta之前，1.0.1.8.Beta之前的R7900、1.0.3.26.Beta，D6220，D6400，D7000之前的R8000，以及可能的其他路由器，允许远程攻击者通过shell在 cgi-bin/ 的路径中执行任意命令。

下载Netgear R7000固件

使用binwalk解析固件，使用IDA分析httpd文件
通过漏洞提示信息在IDA中查找到对应字符串