DIR-645远程命令执行漏洞

Posted 2021-06-12 Neil-Yale

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了DIR-645远程命令执行漏洞相关的知识，希望对你有一定的参考价值。

首先我们分析网上公开的exp确定漏洞相关组件及payload，之后通过IDA分析研究漏洞是如何触发的，最后在attifyos中进行模拟，验证漏洞。

本次实验的漏洞是某品牌路由器service.cgi远程命令执行漏洞。
Packet storm有exp：https://packetstormsecurity.com/files/145859/dlinkroutersservice-exec.txt

看看exp中的关键信息
在这里插入图片描述

大概知道需要访问service.cgi,post请求，payload中有event=checkfw%26
我们先试试看自己能否分析

解压压缩文件
在这里插入图片描述

提取得到固件根目录
在这里插入图片描述

进入提取的文件夹
在这里插入图片描述

看看引发漏洞的cgi文件，其位于htdocs下
在这里插入图片描述

是32位mips小端可执行文件
。

接下来使用IDA分析
在这里插入图片描述

在main函数中看到
在这里插入图片描述

如果main函数判断访问的时候service.cgi就调用servicecgi_main
跟进servicecgi_main
先看一下其交叉引用的图
在这里插入图片描述

大概知道漏洞产生的地方了，servicecgi_main-》lxmldbc_system->system
接着跟下去看看
在这里插入图片描述

看到其会先判断request method请求方法，处理get和post
但是可以看到其实都是走一样的路径
在这里插入图片描述

调用cgibin_parse_request
跟进cgibin_parse_request
在这里插入图片描述

会解析content_type,content_length，然后就是解析参数的工作，回到servicecgi_main
在这里插入图片描述

我们需要找到调用lxmldbc_system的，而上图中我们发现EVENT,SERVICE会调用
在前面xref from图中看到lxmldbc_sytem会调用system，跟进去看看调用system时有没有一些过滤等防护措施
在这里插入图片描述

注意到，lxmldbc_system调用system执行command时没有任何过滤，此处就是引发命令注入的漏洞所在
这样我们就知道如何利用了，在访问时加上EVENT，或者利用SERVICE(加上ACTION字段)，然后使用一些常见的方法截断再加上我们的要执行的命令就可以了。注入命令后需要是“&”符号的urlencode编码(%26)，因为&在http请求中是请求域分隔符,所以必须做编码转换。在其他分隔符使用时也可以进行urlencode编码

接下来进行复现

fat.py启动
在这里插入图片描述