DIR-645远程命令执行漏洞

最新推荐文章于 2025-04-18 17:11:17 发布

Elwood Ying

最新推荐文章于 2025-04-18 17:11:17 发布

阅读量1.4k

点赞数

CC 4.0 BY-SA版权

分类专栏： IoT

本文链接：https://blog.youkuaiyun.com/yalecaltech/article/details/117299537

IoT 专栏收录该内容

36 篇文章

订阅专栏

本文详细介绍了针对某品牌路由器service.cgi远程命令执行漏洞的分析过程。通过研究公开的exploit，利用IDA进行逆向工程，发现漏洞在于lxmldbc_system调用system执行命令时缺乏过滤，允许命令注入。实验中通过Burp Suite模拟GET和POST请求，使用不同参数和编码方式成功触发命令执行，验证了漏洞的存在。此外，还展示了如何在AttifyOS中复现此漏洞。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

首先我们分析网上公开的exp确定漏洞相关组件及payload，之后通过IDA分析研究漏洞是如何触发的，最后在attifyos中进行模拟，验证漏洞。

本次实验的漏洞是某品牌路由器service.cgi远程命令执行漏洞。
Packet storm有exp：https://packetstormsecurity.com/files/145859/dlinkroutersservice-exec.txt

看看exp中的关键信息
在这里插入图片描述

大概知道需要访问service.cgi,post请求，payload中有event=checkfw%26
我们先试试看自己能否分析

解压压缩文件
在这里插入图片描述

提取得到固件根目录
在这里插入图片描述

进入提取的文件夹
在这里插入图片描述

看看引发漏洞的cgi文件，其位于htdocs下
在这里插入图片描述

是32位mips小端可执行文件
。

接下来使用IDA分析
在这里插入图片描述

在main函数中看到
在这里插入图片描述

如果main函数判断访问的时候service.cgi就调用servicecgi_main
跟进servicecgi_main
先看一下其交叉引用的图
在这里插入图片描述

大概知道漏洞产生的地方了，servicecgi_main-》lxmldbc_system->system
接着跟下去看看
在这里插入图片描述

看到其会先判断request method请求方法，处理get和post
但是可以看到其实都是走一样的路径
在这里插入图片描述

调用cgibin_parse_request
跟进cgibin_parse_request
在这里插入图片描述

会解析content_type,content_length，然后就是解析参数的工作，回到servicecgi_main
在这里插入图片描述

我们需要找到调用lxmldbc_system的，而上图中我们发现EVENT,SERVICE会调用
在前面xref from图中看到lxmldbc_sytem会调用system，跟进去看看调用system时有没有一些过滤等防护措施
在这里插入图片描述

注意到，lxmldbc_system调用system执行command时没有任何过滤，此处就是引发命令注入的漏洞所在
这样我们就知道如何利用了，在访问时加上EVENT，或者利用SERVICE(加上ACTION字段)，然后使用一些常见的方法截断再加上我们的要执行的命令就可以了。注入命令后需要是“&”符号的urlencode编码(%26)，因为&在http请求中是请求域分隔符,所以必须做编码转换。在其他分隔符使用时也可以进行urlencode编码

接下来进行复现

fat.py启动
在这里插入图片描述