酷应用

如何在DIR 882中拿到一个方便调试的shell

百家作者：Chamd5安全团队 2022-05-07 09:40:24

0x10 前言

对前一段时间发现的几个命令注入漏洞做下记录：CVE-2022-28571 && CVE-2022-28572 CVE-2022-28571 这个漏洞的产生是因为Telnetd参数过滤不完整导致的,由于需要知道密码所以比较鸡肋，类似于授权后的命令注入，发现的过程很有意思，这篇文章主要介绍这个漏洞。CVE-2022-28572 这个漏洞是Tenda AX18 系列的一个命令注入漏洞，其实应该还有两个点可以触发这个漏洞，这里我交了一个比较好构造的一个。CVE-2022-28573 是一个没水平Dlink 823 pro的命令注入（太经典了）

0x20 漏洞分析 (28571)

起因是我想复现D-link DIR882 的那几个漏洞比如：CVE-2021-45998，但当我抓包以后发现DIR882 对包的检查很严格，每个请求的AUTH好像只能请求一次，试了一下发现漏洞确实存在，但当我想弹个shell回来的时候出了点问题，我用老一套命令

telnetd?-l?/bin/sh?-p?2333

来反弹shell的时候，发现反弹不回来，然后我就想，是不是DIR882的Telnet实现有点不太一样，于是我找了一下DIR882的Telnet

发现Telnet存在lighttpd中，这就意味着他可以开启Telnetd（通过HTTP请求），我们在lighttpd 中找一下这个字符串

我们可以发现/start_telnet 这个路径，以及貌似是开启参数的telnetd -b 0.0.0.0

拿着我200块淘的真机一试，发现这个请求是不过认证的，一个GET请求就可以开启，尽管显示的是404，但Dlink882又可以地方会打印系统信息出来到一个文件里返回给用户（登录后，系统调试处），可以看到命令是执行了的，而且此时23端口也是打开了的。

这个时候漏洞复现的兴趣就没有了，开始漏洞挖掘，这里做一个假设，假设这个Telnet的密码是硬编码写入的，我们只要找到这个编码就可以拿到shell了（后面发现不是硬编码）下面我们只要想办法找到密码就行了，通过对telnet尝试连接，我们发现

这里有一个dlinkrouter login ，根据找tenda Telnet的经验，我查了这个字符串的引用，发现没找到，没找到？说明这个dlinkrouter 字符串应该是系统生成的，而telnetd 是被链接在 busybox里的，我们逆向busybox

通过login字符串的交叉引用，我们发现

我们可以发现sub_465960获取了uname, 这说明系统的用户名是dlinkrouter 加上后面的引用，我们就可以找到telnetd的调用过程了

?login();????????????????????????????????????//?readusername
????do
????{
??????if?(?*(_DWORD?*)(_stdin?+?72)?)
??????{
????????v11?=?*(unsigned?__int8?**)(_stdin?+?16);
????????if?(?(unsigned?int)v11?<?*(_DWORD?*)(_stdin?+?24)?)
????????{
??????????v12?=?*v11;
??????????*(_DWORD?*)(_stdin?+?16)?=?v11?+?1;
??????????goto?LABEL_27;
????????}
????????v13?=?(int?(*)(void))&_fgetc_unlocked;
??????}
??????else
??????{
????????v13?=?(int?(*)(void))&fgetc;
??????}
??????v12?=?v13();
??????if?(?v12?==?-1?)
????????goto?LABEL_67;
LABEL_27:
??????if?(?v12?==?10?)
??????{
????????if?(?!--v10?)
??????????goto?LABEL_67;
????????goto?LABEL_20;
??????}
????}
????while?(?isspace(v12)?);
????username[0]?=?v12;
????if?(?!fgets(&username[1],?30,?stdin)?||?(v14?=?&username[1],?!strchr(&username[1],?10))?)
LABEL_67:
??????exit(1);
????while?(?isgraph((unsigned?__int8)*v14)?)
??????++v14;
????*v14?=?0;
LABEL_37:
????user_struct?=?getpwnam(username);???????????//?从密码文件中取得指定账号的数据
????????????????????????????????????????????????//?#include?<sys/types.h>
????????????????????????????????????????????????//?#include?<pwd.h>
????????????????????????????????????????????????//?struct?passwd
????????????????????????????????????????????????//?{
????????????????????????????????????????????????//???char?*pw_name;????????????????/*?用户登录名?*/
????????????????????????????????????????????????//???char?*pw_passwd;??????????????/*?密码(加密后)?*/
????????????????????????????????????????????????//???__uid_t?pw_uid;???????????????/*?用户ID?*/
????????????????????????????????????????????????//???__gid_t?pw_gid;???????????????/*?组ID?*/
????????????????????????????????????????????????//???char?*pw_gecos;???????????????/*?详细用户名?*/
????????????????????????????????????????????????//???char?*pw_dir;?????????????????/*?用户目录?*/
????????????????????????????????????????????????//???char?*pw_shell;???????????????/*?Shell程序名?*/
????????????????????????????????????????????????//?};
????????????????????????????????????????????????//?
????pw_name?=?user_struct;
????if?(?!user_struct?)
????{
??????strcpy(username,?"UNKNOWN");
??????goto?LABEL_49;
????}
????v17?=?**(unsigned?__int8?**)(user_struct?+?4);
????if?(?v17?!=?0x21?&&?v17?!=?0x2A?)
????{
??????if?(?(v5?&?1)?!=?0?)
????????goto?LABEL_53;
??????if?(?*(_DWORD?*)(pw_name?+?8)?)
????????goto?LABEL_82;
??????v26?=?"/etc/securetty";
??????v18?=?(_DWORD?*)sub_463D20("/etc/securetty",?sub_4063C8);
??????while?(?sub_463DE4(v18,?&v26,?459009,?"#?\t")?&&?strcmp(v26,?dword_485294)?)
????????v26?=?0;
??????sub_463D74(v18);
??????if?(?v26?)
??????{
LABEL_82:
????????if?(?**(_BYTE?**)(pw_name?+?4)?)????????//?pw_passwd
????????{
LABEL_49:
??????????if?(?!sub_45D554(pw_name)?)
????????????goto?LABEL_50;
????????}
LABEL_53:
????????alarm(0);
????????if?(?v4?||?access("/etc/nologin",?0)?)
????????{
??????????fchown(0,?*(_DWORD?*)(pw_name?+?8),?*(_DWORD?*)(pw_name?+?12));
??????????fchmod(0,?384);
??????????sub_45C9AC(pw_name);
??????????v22?=?*(const?char?**)(pw_name?+?24);
??????????if?(?!v22?||?!*v22?)
????????????v22?=?"/bin/sh";
??????????sub_465A64(v22,?(v5?&?4)?==?0,?1,?pw_name);
??????????v23?=?open("/etc/motd",?0);
??????????if?(?v23?>=?0?)
??????????{
????????????fflush(stdout);
????????????sub_407824(v23,?1);
????????????close(v23);
??????????}
??????????if?(?!*(_DWORD?*)(pw_name?+?8)?)
????????????syslog(6,?"root?login%s",?v8);
??????????signal(14,?0);
??????????signal(2,?0);
??????????if?(?v3?)
????????????v24?=?*(const?char?**)(pw_name?+?24);
??????????else
????????????v24?=?"/usr/bin/cli";
??????????sub_465810(v24,?1,?0,?0);
????????}
????????v19?=?(_DWORD?*)sub_4063C8((int)"/etc/nologin");
????????if?(?!v19?)
????????{
??????????puts("\r\nSystem?closed?for?routine?maintenance\r");
??????????goto?LABEL_67;
????????}
????????while?(?2?)
????????{
??????????if?(?v19[18]?)
??????????{
????????????v21?=?(unsigned?__int8?*)v19[4];
????????????if?(?(unsigned?int)v21?<?v19[6]?)
????????????{
??????????????v20?=?*v21;
??????????????v19[4]?=?v21?+?1;
LABEL_57:
??????????????if?(?v20?==?10?)
????????????????LOBYTE(v20)?=?13;
??????????????sub_407048(v20);
??????????????continue;
????????????}
????????????v20?=?((int?(__fastcall?*)(_DWORD?*))_fgetc_unlocked)(v19);
??????????}
??????????else
??????????{
????????????v20?=?((int?(__fastcall?*)(_DWORD?*))fgetc)(v19);
??????????}
??????????break;
????????}
????????if?(?v20?==?-1?)
????????{
??????????fflush(stdout);
??????????fclose(v19);
??????????goto?LABEL_67;
????????}
????????goto?LABEL_57;
??????}
????}

BOOL?__fastcall?sub_45D554(int?a1)
{
??const?char?*pw_passwd;?//?$s2
??BOOL?v2;?//?$s0
??int?v3;?//?$s1
??int?v4;?//?$s3
??int?v5;?//?$v0

??if?(?a1?)
??{
????pw_passwd?=?*(const?char?**)(a1?+?4);
????v2?=?1;
????if?(?!*pw_passwd?)
??????return?v2;
??}
??else
??{
????pw_passwd?=?"aa";
??}
??v3?=?sub_468334(0,?(int)"Password:?");
??v2?=?0;
??if?(?v3?)
??{
????v4?=?sub_46521C();??????????????????????????//?v4?=?enc(password,slat)
????????????????????????????????????????????????//?slat=?"aa"?||?user->uid
????v2?=?strcmp(v4,?pw_passwd)?==?0;
????free(v4);
????v5?=?strlen(v3);
????memset(v3,?0,?v5);
??}
??return?v2;
}

通过对关键函数的分析，我们弄清了Dlink882 Telnet的登录流程为：

输入用户名
系统根据用户名去/etc/passwd 里面找密码
对比加盐后的密码值那么我们就要去找到这个加盐后的密码值了，通过对主程序prog.cgi的逆向我们发现 /etc/passwd 里的密码是由登录密码拼上@twsz2018 组成的

使用登录密码拼上那串字符我们就可以登录进Dlink 882的Telnet，进去之后发现是一个cli. 分析busybox我们发现

??????????if?(?!*(_DWORD?*)(pw_name?+?8)?)
????????????syslog(6,?"root?login%s",?v8);
??????????signal(14,?0);
??????????signal(2,?0);
??????????if?(?v3?)
????????????v24?=?*(const?char?**)(pw_name?+?24);
??????????else
????????????v24?=?"/usr/bin/cli";
??????????sub_465810(v24,?1,?0,?0);
????????}

是/usr/bin/cli ,上了个大当。我们继续分析cli

int?__fastcall?cmd_ping(int?a1,?const?char?*a2,?_DWORD?*a3,?int?a4)
{
??int?v8;?//?$s0
??int?v9;?//?$s1
??char?v11[128];?//?[sp+18h]?[-80h]?BYREF

??memset(v11,?0,?sizeof(v11));
??v8?=?snprintf(v11,?128,?"%s?",?a2);
??if?(?a4?>?0?)
??{
????v9?=?0;
????do
????{
??????++v9;
??????v8?+=?snprintf(&v11[v8],?128?-?v8,?"%s?",?*a3++);
????}
????while?(?v9?!=?a4?);
??}
??systemCmd(a1,?(int)v11);
??return?0;
}
int?__fastcall?systemCmd(int?a1,?int?a2)
{
??int?v4;?//?$s2
??int?v5;?//?$s0
??char?v7[256];?//?[sp+18h]?[-100h]?BYREF

??v4?=?-1;
??memset(v7,?0,?sizeof(v7));
??if?(?a2?)
??{
????v5?=?popen(a2,?"r");
????if?(?v5?)
????{
??????while?(?fgets(v7,?256,?v5)?)
????????cli_bufprint(a1,?"%s",?v7);
??????v4?=?0;
??????cli_print(a1,?"??",?v7);
??????pclose(v5);
????}
??}
??return?v4;
}