TP-Link TL-R600VPN远程代码执行漏洞分析

阅读量    110387 | 评论 1   稿费 180

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

一、简介

TP-Link最近修补了TL-R600VPN路由器中的三个漏洞,固件版本1.3.0。在与TP-Link协商后,思科公开披露这些漏洞,并给出解决方案,本篇文章对这些漏洞的内部工作方式进行深入研究,并给出概念验证的方法。

 

二、背景

TL-R600VPN是一款由TP-Link生产的小型办公室/家庭路由器,该路由器在芯片上集成了Realtek RTL8198系统,该芯片使用了Lexra开发的MIPS-1架构的分支版本,除了一些存储和对齐指令不同,其它指令集基本相同。Lexra中并没有LWL, SWL, LWR和SWR等指令的说明,这些专有指令通常在MIPS-1架构编译程序时使用。在Lexra中使用会产生段错误。

有关Lexra MIPS与MIPS-1两者之间更多的比较信息,请参考文章The Lexra StoryMIPS-1 patent filing

 

三、漏洞细节

当该设备的HTTP服务器处理对/fs/目录的请求时会触发漏洞,该漏洞允许经身份验证的攻击者远程执行载荷代码。

当访问/fs/目录中的以下任何页面时,应用程序会错误的解析HTTP标头。

http://<router_ip>/fs/help
http://<router_ip>/fs/images
http://<router_ip>/fs/frames
http://<router_ip>/fs/dynaform
http://<router_ip>/fs/localiztion (NOTE: this is not a typo)

在函数”httpGetMimeTypeByFileName”中,Web服务器尝试解析所请求页面的文件扩展名以确定mime类型,在这个过程中,服务器会使用strlen()函数计算所请求页面名称的长度,在堆中查找并匹配该字符串末尾,然后读取文件扩展名,遇到字符”.”(0x2e)结束。

图4

在请求页面上应始终包含扩展名,以防止解析错误。下面是相关例子,在/web/dynaform/css_main.css页面的GDB字符串输出中,可以看到解析后的文件扩展名为’css’。

图5

但是,如果我们请求一个易受攻击的页面,如下所示,我们可以看到解析的URI并不包含字符”.”(0x2e),因此,应用程序会继续向后搜索。这导致可以搜索到一些有效负载。

图6

如下所示,在对/fs/help页面的GDB字符串输出中(0x67a170),并没有解析到文件扩展名。

图7

当遇到字符”.”(0x2e)后,会调用toUpper()函数处理提取到的字符串,然后通过存储指令将该操作的结果写入基于堆栈的缓冲区,如下所示:

图8

程序继续执行,在运行httpGetMimeTypeByFileName函数后,堆栈上会保存返回值和5个寄存器的数值,当该漏洞被利用时,这些值会被覆盖。

图9

在该函数的结尾,会将数据复制到缓冲区并覆盖堆栈上的原始数据,通过弹出堆栈,用户可以控制返回地址,也意味着用户能够在HTTPD进程的上下文中执行远程代码。

toUpper()函数分析

在解析HTTP标头时,设备会迭代每个字节,构建缓冲区。直到匹配到0x2e。随后将调用toUpper()函数,并把缓冲区作为参数。该函数是将缓冲区的每个ASCII字符转换为大写。

图10

在用HTTP标头发送shellcode时会产生问题,因为会调用toUpper()函数,导致阻止使用任何小写字符,如下所示:

图1

我们通过查看httpGetMimeTypeByFileName函数结尾处最后一次跳转前寄存器的值,可观察到标头的字符’a’(0x61)已经转换为大写(0x41)。如下图所示:

图2

通过对寄存器的观察,我们可以在toUpper()函数被调用后,找到一些可预测的数据及位置。

虽然会影响httpGetMimeTypeByFileName函数结尾处的最后一次跳转,但我们可以通过检查堆栈上的数据,找到大写的标题数据(包括有效负载)存储位置。

图11

相比之下,如果我们检查寄存器$s5指向的位置所存储的数据,我们会看到原始数据头仍然可访问。

图12

我们发现该部分内存的权限显示可执行,可以直接跳转到原始标头。

图13

绕过toUpper()

为了解决toUpper()函数带来的问题,我们创建了一小段memcpy()的代码,它在获取$ra的控制权后不使用任何小写字符或空字符来执行。这样我们就能将原始标头数据复制到堆栈中并跳转执行。

图14

我们使用了一种改进的ret2libc技术,该技术允许我们利用uClibc中的组件获取指向堆栈的指针,并为我们的代码设置寄存器,这样我们便可以获得memcpy()函数的执行结果。

第一个组件位于uClibc偏移地址0x0002fc84处,用于将堆栈指针递增0x20。我们将第二个组件的地址放在0x20+$sp处,如下所示:

图15

位于uClibc偏移地址0x000155b0处的第二个组件用于获取指向递增的堆栈缓冲区的指针。然后将所需的指针放入寄存器$a1,我们将第三个组件的地址放在0x58+$sp处。如下所示:

图16

最后,位于uClibc偏移地址0x000172fc处的组件用于跳转到堆栈缓冲区。

图17

我们需要获取uClibc的加载地址,以便于我们计算使用这些组件的真是偏移,通过查看下面的进程内存映射,我们可以看到uClibc的可执行版本加载到地址0x2aaee000处。

图3

通过获取uClibc的加载地址并添加到每个组件,我们可以获得所需代码的可用地址,进而执行我们的代码和有效负载。

LexraMIPS shellcode

虽然LexraMIPS基于MIPS规范,但在尝试执行某些MIPS指令时,会存在一些偏差,导致与预期的结果不同。因此,我们选择用GCC开发的LexraMIPS下的shellcode。下面的代码采用回连攻击者的方法,将stdin,stdout和stderr复制到socket(套接字)中,最后生成一个shell。

我们首先在设备上打开一个socket,并防止$t7寄存器包含null字符,值得注意的是,MIPS $zero寄存器在使用时不包含null字符。

图18

打开socket后,我们使用connect syscall创建设备到攻击者的TCP连接,在这个步骤中,null字符的处理是关键问题,因为此设备的默认子网包含0,为了避免该问题,我们使用了一种技术方法,该方法强制寄存器值溢出并产生所需ip地址时没有null字符。

图19

为确保设备接受我们的输入并正确显示任何输出,我们需要复制stdin,stdout和stderr的文件描述符到socket中,这样我们便可以查看任何输出。

图20

最后,我们使用execve系统调用在设备上生成shell,该shell是我们的socket生成,并且我们控制了stdin,stdout和stderr。我们可以通过远程控制新的shell。

图21

 

四、总结

不幸的时,这种类型的漏洞在物联网设备中很常见,攻击者可以通过这些漏洞进行攻击,所以每个人都必须提高物联网安全意识。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多