dlink一个后门的分析

解压后得到一个bix文件，binwalk分析

看到有squashfs文件系统，直接导出

根据公告

根据描述，应该与web服务有关

在bin下找到一个webs程序

ida分析

根据提示，直接在stirng window搜索关键字

交叉引用

来到了alpha_auth_check

0xB8($S0)使用strstr来看字符中是否有 graphic/、 public/ 子串

0xC($S0)与0xE0($S0)代码进行check_logined操作 很可能是用户名和密码或是cookie，session等

看到这个字符串和$s0+0xd0处内容当strcmp匹配成功，则会v1=1，转入loc_423edc

Loc_423edc

可以在这里看到，$v1赋值给$v0,而$v1为之前匹配成功赋的1，$v0为函数返回值，即匹配成功后返回1，那么也就是说strcmp比较成功后就可以直接放回校验成功的结果

从xrfs to可知

httpd_parse_request->alpha_httpd_parse_request->alpha_upload->alpha_auth_check

之前看到有一个0xd0的偏移

serach->immediate

找到了一处于http_parse_request相关的

双击

根据调用关系，可以看到传入的参数为user-agent

那也就明确了：

通过比较user-agent的值与后门，如果通过比较，则可以绕过输入密码等步骤直接来到管理界面

验证的话可以去shodan找一个

然后改user-agent即可