某光猫的漏洞

1、目录穿越:
在这个设备的web界面可以通过usb设备的链接调用自定义函数或者更改请求包可以实现目录穿越。

2、目录穿越
可以通过usb设备实现目录穿越下载文件

3、信息泄露
可以通过下载相关文件可以对拿到明文密码。

1、前期准备

串口调试器
杜邦线
一个U盘（确保有足够的内存）
一根网线
一台电脑
一个该品牌的实体设备

2、提取固件

2.1、第一种方法：web界面提取这个文件系统

首先我们把设备通电，通过网线与我们的电脑连接，把U盘插到该设备的usb接口，然后通过账号密码进入该页面。

然后我们F12打开控制台，切换目录进二级目录[storage iframe(settings)]

我们通过对该页面的代码分析，发现这个函数get_path_files是用来实现目录跳转的。
然后我们通过函数get_path_files("/mnt/usb1_1/../../../../../")进入到固件的根目录
ps:因为linux系统目录在跳转目录时，如果目标文件目录不存在，会直接跳转到根目录。
关于这个函数的分析见本文章的2.1.2：关于一些细节的解释。

然后我们选择这些文件夹，复制到我们的U盘里面的【新建文件1夹】目录下

我们把u盘拔下来，放到电脑上看一下是提取成功。

所以，我们就可以通过这个步骤，把这个设备的文件系统全部提取出来，然后再做分析。

2.1.1、抓包改包

除了上述的通过分析页面的源码调用自定函数来实现目录穿越的方法以外，我们还可以通过抓包的方式来分析他是怎么实现目录的跳转的。

我们点击这个u盘的文件夹，进行抓包。

我们发现这个path的值就是我们的索要进入的目录，并且这个值进行了URL编码，我们上面知道了linux的目录的目录穿越的原理，所以我们在这里对path的值进行更改

我么在原本path的值后面加了几个'..%2F'这个是'../'的URL编码，我们发现改值以后的返回包是关于根目录的文件目录信息，接下来我我们放包来让web界面显示出来，看我们的想法是否正确。

我们发现确实跳转到了文件的根目录，这样我们在不去审计网页的源代码也能实现目录的穿越去拿到我们想要拿到的信息了。

2.1.2、关于一些细节的解释

关于二级目录[storage iframe(settings)]

在控制台来看；这个top是真个web页面的目录，切换目录[storage iframe(settings)]下再调用这个目录下的函数get_path_files

关于函数get_path_files

源码：

function get_path_files(getpath) {
    // 清除当前活动的定时器
    clearTimeout(activeTimeout);
    // 设置一个新的定时器，5分钟后调用 Timeout() 函数
    activeTimeout = setTimeout("Timeout()", 300000);

    // 创建一个新的 XMLHttpRequest 对象，发送 POST 请求
    (new XHR()).post('/cgi-bin/luci/admin/storage/openFolder', 
    {
        token: '9e5aa94517c7475794822ea152f5a724', // 认证令牌
        path: getpath // 要访问的路径
    }, 
    function(x) {
        // 检查响应文本是否为文档类型，如果是则重定向到登录页面
        if (x.responseText.substr(2, 7) == "DOCTYPE")
            parent.location = "/cgi-bin/luci";
        else {
            // 清空当前文件列表
            removeAllFiles();
            // 解析响应文本为 JSON 对象
            var json = eval("(" + x.responseText + ")");

            // 获取当前路径和文件数据
            path = json.filePath;
            jdata = json;

            // 遍历文件数量，添加文件到列表
            for (var i = 0; i < json.fileNum; i++) {
                eval("fileList = json.file" + (i + 1)); // 动态获取文件信息
                addFileList(fileList.name, fileList.size, fileList.isFolder, fileList.time); // 添加文件到列表
            }

            // 对文件列表进行排序
            sortFiles();

            // 根据当前路径显示或隐藏返回按钮
            if (path != rootpath)
                $("#backShowOr").show(); // 显示返回按钮
            else
                $("#backShowOr").hide(); // 隐藏返回按钮

            // 处理当前路径的显示格式
            if (path.length > 36) {
                var path_item = path.split('/'); // 分割路径
                if (path_item[path_item.length - 1].length > 24) {
                    // 如果文件名过长，显示简化路径
                    var str_after = path_item[path_item.length - 1].substring(path_item[path_item.length - 1].length - 15, path_item[path_item.length - 1].length); 
                    var pathway = "/" + path_item[1] + "/..." + str_after;
                } else {
                    // 显示完整路径
                    var pathway = "/" + path_item[1] + "/.../" + path_item[path_item.length - 1];
                }
                $("#curpath").html(pathway); // 更新当前路径显示
            } else {
                $("#curpath").html(path); // 更新当前路径显示
            }
        }
    });
}

这个函数的主要任务是：