逆向路由器固件之动态调试

迈不过友情╰ 2022-01-15 20:15 415阅读 0赞

原文地址：[http://xdxd.love/2016/09/20/逆向路由器固件之动态调试/][http_xdxd.love_2016_09_20]

本文根据devttyS0的教程[Exploiting Embedded Systems – Part 2][Exploiting Embedded Systems _ Part 2]和[Exploiting Embedded Systems – Part 3][Exploiting Embedded Systems _ Part 3]复现Trendnet一个路由器的SQL注入漏洞分析过程。部门内容直接翻译引用自原文，可以看做是原文的翻译整理。

相关的环境搭建[详细的路由器漏洞分析环境搭建教程][Link 1]。

## 静态分析 ##

存在漏洞的固件[下载地址FW\_TEW-654TR\_v1.0R(1.10.12).zip][FW_TEW-654TR_v1.0R_1.10.12_.zip],最新版固件[下载地址][Link 2]

使用binwalk解包：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]

查看登录接口的URL和参数，在解包的文件中找到my\_cgi.cgi文件。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]

在my\_cgi.cgi中查找user\_name和user\_pwd两个参数。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]

看起来`select level from user where user_name='%s' and user_pwd='%s'`像是登录的时候查询SQL的参数，使用IDA载入my\_cgi.cgi。查询”select level from user where user\_name“字符串，可以定位到do\_login函数。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]

## 动态分析 ##

分析do\_login函数，在exec\_sql函数执行之前下断点。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 4]

使用如下脚本运行my\_cgi.cgi:

#!/bin/bash
    INPUT="$1"
    LEN=$(echo -n "$INPUT" | wc -c)
    PORT="1234"
    if [ "$LEN" == "0" ] || [ "$INPUT" == "-h" ] || [ "$UID" != "0" ]
    then
        echo -e "\nUsage: sudo $0 <POST data>\n"
        exit 1
    fi
    cp $(which qemu-mipsel-static) ./qemu
    echo "$INPUT" | chroot . qemu -E REQUEST_METHOD="POST" -E CONTENT_LENGTH=$LEN -E CONTENT_TYPE="multipart/x-form-data" -E REMOTE_ADDR="1.1.1.100" -g $PORT /usr/bin/my_cgi.cgi 2>/dev/null

需要放在解压出来的squashfs-root目录下执行。

bash cgi.sh "request=login&user_name=admin&user_pwd='%20or%20'1'%3D'1"

然后IDA连接到GDB端口进行调试，具体方法参考[详细的路由器漏洞分析环境搭建教程][Link 1]。按F9执行程序到exec\_sql的断点处。可以看到寄存器$a1的值为指向sql字符串的指针。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 5]

在hex view中跳转到对应的地址，可以看到sql字符串的值为：

select level from user where user_name='admin' and user_pwd='' or '1'='1'

表明我们输入的字符串已经拼接到SQL语句中。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 6]

采用同样的方式动态调试最新版固件，可以发现漏洞已经修复。最新版对输入的参数进行了长度检查，并且检查是否含有单引号。可见这个点除了SQL，应该是也存在溢出的。

进行长度检查。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 7]

检查是否存在单引号避免SQL注入。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 8]

[http_xdxd.love_2016_09_20]: http://xdxd.love/2016/09/20/%E9%80%86%E5%90%91%E8%B7%AF%E7%94%B1%E5%99%A8%E5%9B%BA%E4%BB%B6%E4%B9%8B%E5%8A%A8%E6%80%81%E8%B0%83%E8%AF%95/
[Exploiting Embedded Systems _ Part 2]: http://www.devttys0.com/2011/09/exploiting-embedded-systems-part-2/
[Exploiting Embedded Systems _ Part 3]: http://www.devttys0.com/2011/09/exploiting-embedded-systems-part-3/
[Link 1]: http://bbs.pediy.com/showthread.php?t=212369
[FW_TEW-654TR_v1.0R_1.10.12_.zip]: http://download.trendnet.com/TEW-654TR/firmware/
[Link 2]: http://www.trendnet.com/support/supportdetail.asp?prod=175_TEW-654TR
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70]: /images/20220115/68110b9cf6124fa69b883688c13f1de3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 1]: /images/20220115/ba0e1aa21e1a4a9fb2ddb116d80d99ea.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 2]: /images/20220115/9ea09b67015042d680f426505a924642.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 3]: /images/20220115/0e2500229b8d4c2dafe693c70d21f81c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 4]: /images/20220115/a99b5639ea314910a95cc7717993e61b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 5]: /images/20220115/8652346b38a1428c82d79a7576fd2ff3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 6]: /images/20220115/2e83247068784ba1ba65df4d02de7bc5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 7]: /images/20220115/d3d29f12f29f48bfa95795a74060d560.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDMwNDY4Ng_size_16_color_FFFFFF_t_70 8]: /images/20220115/0e1485f0a50048b8a09a1c4653821b20.png