路由器漏洞分析第七弹:CVE-2018-8941 远程代码执行

这次分析一个mips下栈溢出用到ROP的情况。

一. 漏洞概述

CVE-2018-8941 D-Link DSL-3782 代码执行

友讯科技股份有限公司成立于1986年,专注于电脑网路设备的设计开发,并自创「D-Link」品牌,行销全球。

此漏洞位于 D-Link DSL-3782路由器,授权用户可以远程代码执行

参考信息:https://github.com/SECFORCE/CVE-2018-8941#cve-2018-8941-d-link-dsl-3782-code-execution-proof-of-concept

https://eu.dlink.com/cz/cs/products/dsl-3782-wireless-ac1200-dual-band-vdsl-adsl-modem-router#Technical-Specifications

漏洞存在于 “/USEFS/BI/TCAPI”二进制文件中,它被用作Web GUI中“诊断”功能的实现代码,一个经过身份验证的用户可以使用一个长缓冲区作为参数,导致内存损坏。此外,可以重定向程序的流程并执行任意代码。

二. 漏洞分析

2.1 控制eip

对/userfs/bin/tcapi输入不当的参数会触发漏洞

MIPS大端结构

Tcapiset 命令用法如下

tcapi set会调用Libtcapi.so.1中的tcapi_set函数

其中第二个Strcpy拷贝未验证src的长度,导致栈溢出

ra放在-4 ,拷贝的目标地址在- 0×258,0×258-0×4=596,

Payload=”A”*596+”BBBB”测试一下

2.2 构造rop链

貌似还是很友好

由于本身文件很小,可能不太好找到合适的godget,看下内存,用了如下的lib文件

Libc里面的godget比较多,mips下的rop主要是去找到 move t9,xxx;jalrt9这样的指令来达到控制执行流程的目的,其中xxx是我们在溢出的时候可以控制的寄存器。此漏洞中我们可以控制s0,s1,s2,s3 寄存器。

用misprop插件在IDA 搜索godget

直接搜索从栈中读取参数到寄存器的godget

找到如下的godget,把栈中的参数放到s5,再直接放到a0作为下一个call参数,并把system的地址从s0传到t9,一个godget搞定

现在只差s5 的值了,可以看到s5=sp+0×10,那么在payload中ra的后面16字节后再放我们需要system执行的参数

我们的参数需要放到

构造如下的payload:

执行后,

可以在截图中看到,成功执行了我们的远程命令“ls“”

  • 发表于:
  • 原文链接http://kuaibao.qq.com/s/20180429G0MJ8Z00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 yunjia_community@tencent.com 删除。

扫码关注云+社区

领取腾讯云代金券