Informe del dispositivo Netis WF2409E

1. Descripción general del dispositivo

1.1 Tabla de especificaciones principales

1.2 Tabla de verificación de funcionamiento

1.3 Componentes principales del sistema

2. Investigación de contactos

2.1 Conexión al dispositivo a través del puerto serie

3. Log de arranque, comandos del bootloader y SO

3.1 Análisis del log de arranque

Características del procesador

Características de la memoria Flash

Información del bootloader

Configuración de red predeterminada

Información del software del sistema

Estado de los servicios

Es importante señalar que este dispositivo probablemente no utiliza U-Boot. Indicadores clave:

1. El log comienza directamente con la información de arranque de RealTek: ---RealTek(RTL8196E)at 2014.09.29-19:16+0800 v1.0 [16bit](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/HEAD/380MHz)
2. Faltan indicios típicos de arranque de U-Boot:

• No hay información sobre la versión de U-Boot
• No hay información sobre la inicialización de variables de entorno de U-Boot
• No hay indicador de línea de comandos de U-Boot

3. El RTL8196E es un chip de router económico de RealTek; muchos dispositivos basados en él utilizan el bootloader propio de RealTek en lugar de U-Boot.
4. Dado el pequeño tamaño de la memoria Flash (4 MB), el uso de un bootloader ligero es más lógico. De hecho, no se encontró ninguna forma de acceder a U-Boot.

3.2 Análisis del bootloader

Para entrar en el bootloader es necesario mantener presionada la tecla Esc durante el arranque:

Conjunto completo de comandos del bootloader RealTek

Ejemplo de lectura de memoria:

Comandos del bootloader:

<RealTek> FLR 80000000 0 100 #Чтение из Flash DB 80000000 100 #Просмотр содержимого памяти

3.3 Análisis del entorno Shell

Comandos básicos de Shell

Estructura detallada de los directorios del sistema (/bin: herramientas importantes)

Información clave del directorio /proc

Lista de procesos:

3.4 Descripción de los componentes de hardware principales

4. Análisis de la información de los puntos de montaje

4.1 Obtención de información sobre el montaje de particiones

4.2 En el sistema se definen tres puntos de montaje principales:

• /dev/mtdblock1 montado como directorio raíz /
• none montado como sistema de archivos de procesos /proc
• tmpfs montado como sistema de archivos temporal /var

Análisis detallado

4.2.1. Sistema de archivos raíz

El sistema de archivos raíz está configurado de la siguiente manera:

• Dispositivo: /dev/mtdblock1
• Tipo de sistema de archivos: squashfs
• Opciones de montaje: solo lectura (ro)
• Propósito: almacenar archivos del sistema y programas

Esto indica el uso de memoria flash MTD como medio de almacenamiento, mientras que los archivos del sistema están protegidos y optimizados en tamaño mediante solo lectura y compresión squashfs.

4.2.2 Sistema de archivos de procesos

El sistema de archivos de procesos está configurado de la siguiente manera:

• Dispositivo: none (sistema de archivos virtual)
• Tipo de sistema de archivos: proc
• Opciones de montaje: lectura-escritura (rw)
• Propósito: proporcionar una interfaz para acceder a la información del sistema y de los procesos

4.2.3 Sistema de archivos temporal

El sistema de archivos temporal está configurado de la siguiente manera:

• Dispositivo: tmpfs (sistema de archivos en memoria)
• Punto de montaje: /var
• Límite de tamaño: 230 KB
• Opciones de montaje: lectura-escritura (rw)
• Propósito: almacenar archivos temporales y datos durante el funcionamiento

4.2.4 Se ha detectado que la mayoría de los comandos del sistema no están presentes

5. Estructura y formato del firmware

5.1 Obtención del firmware "netis.bin"

5.2 Realización del análisis de entropía:

binwalk -E --save netis.bin

5.3 Análisis de cabeceras:

binwalk netis.bin

5.4 Para realizar la extracción se utilizan los argumentos –reM.

Y obtener:

5.5 Tabla de resultados del análisis

Desplazamiento	Cabecera de la sección
0x12F0
0x32818

6. Sistema de archivos tras extraer el firmware

6.1 Sistema de archivos después de la extracción:

6.2 Algunos documentos importantes

6.2.1 etc/passwd:

Usando el servicio de descifrado de hashes https://hashes.com/en/decrypt/hash, la contraseña de root se recuperó con éxito como realtek.

6.2.2 web/welcome.htm:

Esta es la página web de interfaz predeterminada

7. Marcadores, huella para FOFA, estadísticas

Búsqueda de dispositivos en FOFA mediante características en web/welcome.htm:

Comandos de búsqueda: body="./images/logo_netis.png" && body="display:block; height:60px; float:left;"

Para acceder al panel de administración del dispositivo puede ser necesaria la autenticación con usuario y contraseña

Tras una autenticación exitosa se puede acceder al panel de administración

8. Script de identificación

Primero, usando el comando ~/squashfs-root/web$ find, se encontraron los directorios disponibles y, con Burpsuit, se verificó su accesibilidad:| | Payload | Code | | Lenth | | ------ | ------------------------------- | ------- | ----- | --------- | | 1 | /cgi-bin | 200 | | 167 | | 2 | /cgi-bin/cgitest.cgi | - | ERROR | - | | 3 | /script | 200 | | 168 | | 4 | /script/init.js | 200 | | 1282 | | 5 | /script/logic.js | 200 | | 65677 | | 6 | /script/menu.js | 200 | | 4976 | | 7 | /script/netcore.js | 200 | | 151935 | | 8 | /script/action.js | 200 | | 182624 | | 9 | /script/debug.js | 200 | | 28570 | | ==10== | ==/version.txt== | ==200== | | ==206== | | ==11== | ==/update.htm== | ==200== | | ==1230== | | 12 | /config | 200 | | 168 | | 13 | /config/language_es.js | 200 | | 79333 | | 14 | /config/language_it.js | 200 | | 76802 | | 15 | /config/language_id.js | 200 | | 74795 | | 16 | /config/language_du.js | 200 | | 78782 | | 17 | /config/language_ma.js | 200 | | 73594 | | 18 | /config/language_po.js | 200 | | 76458 | | 19 | /config/language_tu.js | 200 | | 77747 | | 20 | /config/language_fr.js | 200 | | 78165 | | 21 | /config/language_ro.js | 200 | | 73621 | | 22 | /config/language_cz.js | 200 | | 75968 | | 23 | /config/language_ua.js | 200 | | 98335 | | 24 | /config/language_us.js | 200 | | 84173 | | 25 | /config/config.js | 200 | | 75899 | | 26 | /config/language_ru.js | 200 | | 108998 | | 27 | /config/language_de.js | 200 | | 78674 | | 28 | /config/language_pt.js | 200 | | 77954 | | 29 | /config/language_cn.js | 200 | | 62001 | | 30 | /config/language_tc.js | 200 | | 74268 | | 31 | /system_log.txt | 404 | | 330 | | ==32== | ==/index.htm== | ==200== | | ==4336== | | 33 | /css | 200 | | 167 | | 34 | /css/style.css | 200 | | 5441 | | 35 | /css/netcore.css | 200 | | 11536 | | 36 | /css/welcome.css | 200 | | 6270 | | 37 | /Config.tgz | 404 | | 326 | | 38 | /images | 200 | | 168 | | 39 | /images/first.png | 200 | | 838 | | 40 | /images/icon_no.gif | 200 | | 240 | | 41 | /images/top_right_bg.gif | 200 | | 222 | | 42 | /images/logo_netis.png | 200 | | 7297 | | 43 | /images/icon_jian.gif | 200 | | 239 | | 44 | /images/show_pwd.png | 200 | | 1433 | | 45 | /images/icon_no1.gif | 200 | | 498 | | 46 | /images/nextt.png | 200 | | 1026 | | 47 | /images/lastt.png | 200 | | 845 | | 48 | /images/icon_intro_internet.gif | 200 | | 6994 | | 49 | /images/help_b1.gif | 200 | | 540 | | 50 | /images/high.gif | 200 | | 10846 | | 51 | /images/yandex_en.png | 200 | | 3519 | | 52 | /images/help_b1.jpg | 200 | | 620 | | 53 | /images/back.gif | 200 | | 379 | | 54 | /images/icon_intro_wireless.jpg | 200 | | 3838 | | 55 | /images/icon_jian1.gif | 200 | | 490 | | 56 | /images/left_021.jpg | 200 | | 558 | | 57 | /images/edit.gif | 200 | | 365 | | 58 | /images/pre.png | 200 | | 1029 | | 59 | /images/btn_mobile_setup.jpg | 200 | | 3053 | | 60 | /images/icon_now.gif | 200 | | 242 | | 61 | /images/top_right_bg.jpg | 200 | | 223 | | 62 | /images/bg_intro_bottom.png | 200 | | 3562 | | 63 | /images/favicon.ico | 200 | | 4458 | | 64 | /images/btn_quick_setup.jpg | 200 | | 4353 | | 65 | /images/bg_intro_top.png | 200 | | 3605 | | 66 | /images/mt-link.gif | 200 | | 5823 | | 67 | /images/link.gif | 200 | | 1045 | | 68 | /images/del.gif | 200 | | 313 | | ==69== | ==/images/Makefile== | ==200== | | ==593== | | 70 | /images/icon_jia1.gif | 200 | | 490 | | 71 | /images/blue.jpg | 200 | | 2584 | | 72 | /images/normal.gif | 200 | | 10818 | | 73 | /images/yandex.png | 200 | | 2159 | | 74 | /images/bg_leftmenu.gif | 200 | | 686 | | 75 | /images/icon_jia.gif | 200 | | 252 | | 76 | /images/icon_now1.gif | 200 | | 487 | | ==77== | ==/welcome.htm== | ==200== | | ==30155== | | ==78== | ==/index.html== | ==200== | | ==326== | | 79 | /help | 200 | | 166 | | ==80== | ==/backup.htm== | ==200== | | ==1304== |

Ubicaciones potenciales de información:

Tras la verificación, podemos encontrar en el archivo ==/version.txt== la siguiente información:

• Versión del firmware
• Fecha de compilación
• Información sobre el servidor Boa (obtenida del campo Server en la cabecera HTTP de la respuesta)

La extracción de esta información se implementó mediante un script de Python:

9. Lista de vulnerabilidades con CVSS

9.1 Lista de vulnerabilidades

Actualmente se han detectado las siguientes vulnerabilidades en este dispositivo, entre las cuales la vulnerabilidad CVE-2023-38829 es una vulnerabilidad de inyección de comandos presente en el módulo de pruebas de red del router NETIS SYSTEMS Router WF2409E en las funciones ping y traceroute. A través de la interfaz web de administración es posible inyectar comandos maliciosos en los parámetros de estas funciones, lo que conduce a la ejecución de comandos.

9.2 Verificación de la vulnerabilidad

Para comprobar la presencia de esta vulnerabilidad, accedí al panel de administración del router y probé la vulnerabilidad en las funciones ping y traceroute. Aquí inyecté el comando cd && ls && cd etc/ && cat passwd, que mostró el contenido del archivo de contraseñas.

A continuación se muestra la salida del panel de administración del router al inyectar el comando, lo que confirma la presencia de la vulnerabilidad.

9.3 Evaluación de la vulnerabilidad según el sistema CVSS

Análisis CVSS 3.1 de las vulnerabilidades de inyección de comandos detectadas:

1. Evaluación de métricas base:

   • Vector de ataque (AV): Red (N), ya que es posible la explotación remota
   • Complejidad de ataque (AC): Baja (L), ya que solo se requiere el envío de una petición HTTP
   • Privilegios requeridos (PR): Bajos (L), se requieren derechos básicos de usuario (autenticación en la interfaz administrativa del dispositivo)
   • Interacción con el usuario (UI): Ninguna (N), no se requieren acciones del usuario
   • Alcance (S): Cambiado (C), puede afectar a otros dispositivos conectados al router

2. Métricas de impacto:

   • Impacto en la confidencialidad (C): Alto (H), es posible obtener acceso completo al sistema
   • Impacto en la integridad (I): Alto (H), es posible modificar cualquier archivo del sistema
   • Impacto en la disponibilidad (A): Alto (H), es posible afectar al funcionamiento del dispositivo

3. Métricas temporales:
   • Madurez del exploit (E): Existe un exploit funcional (F)
   • Nivel de corrección (RL): Corrección oficial (O)
   • Fiabilidad del informe (RC): Confirmada (C)

Puntuación final: 9.2/10 puntos , que corresponde a la categoría "crítica". Vector CVSS: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:F/RL:O/RC:C

Una puntuación tan alta de la vulnerabilidad se debe a las siguientes razones:

• Posibilidad de explotación remota sin condiciones especiales
• Posibilidad de obtener privilegios root sin autenticación
• Impacto total en la seguridad del sistema
• Facilidad de explotación de la vulnerabilidad

10. Análisis de vulnerabilidades débiles (BO o CI)

Primero busquemos los archivos donde puedan haber vulnerabilidades: find . -name "*.cgi" ./web/cgi-bin/cgitest.cgi ./bin/cgitest.cgi

Supongo que las vulnerabilidades pueden manifestarse en los programas CGI, por lo que primero intentaré analizar el archivo ./web/cgi-bin/cgitest.cgi con IDA Pro.

Primero hay que encontrar los lugares de llamada de funciones similares; mediante la búsqueda se pudo encontrar la cadena "killall ping". Al analizar el lugar de la llamada se puede ver que el programa, tras inicializar las funciones ping y traceroute, llama a /bin/network_test.sh

Y el lugar donde se encuentra la vulnerabilidad está precisamente en el módulo de pruebas de red. Bien, necesitamos analizar /bin/network_test.sh.

Análisis de network_test.sh

En primer lugar, es necesario realizar una búsqueda.

Encontramos la función network_test_sh: ......

Al analizar la función en detalle se pueden detectar los módulos de ejecución de comandos y de guardado de resultados.

En ellos: Ejecución del comando ping: ping -c %d -s %d %s -W %d > %s &

• Parámetros de ping:
  • -c: número de pings
  • -s: tamaño del paquete de datos (menos 8 bytes)
  • -W: tiempo de espera
  • dirección IP de destino de la configuración

Ejecución del comando traceroute: traceroute -I -m %d %s > %s &

• Parámetros de traceroute:
  • -I: uso del protocolo ICMP
  • -m: número máximo de saltos
  • dirección IP de destino de la configuración

Análisis detallado de la vulnerabilidad```

Ситуация с командой ping

loc_4205B8: lw v0, 0x108+var_D4(sp) #прямая загрузка параметров lw a3, 0x108+var_D8(sp) la t9, sprintf #прямой вызов sprintf #отсутствует проверка параметров перед sprintf

El texto del fragmento (chunk 4/14) no fue incluido en el mensaje. Por favor, proporciona el contenido a traducir.```
# Ситуация с командой traceroute
loc_420574:
la $t9, sprintf #также прямой вызов sprintf
lw $a2, 0x108+var_D0($sp) #также отсутствует проверка параметров

No se proporcionó ningún contenido en el campo INPUT. No hay texto que traducir.```

После построения команды происходит прямое выполнение

la $t9, run_by_system jalr $t9 ; run_by_system #прямой вызов system для выполнения команды move $a0, $s1 #отсутствуют проверки безопасности

![](https://assets.kitploit.com/production/public/readmes/21494/1e9088ba6dfbbf334108926751cc5cf1245a23972df7ce3d48d323b46c27c015.png)

En el código falta una validación suficiente de los parámetros de entrada, lo que crea un riesgo potencial de inyección de comandos. Un atacante puede controlar el parámetro IP transmitido para ejecutar comandos de shell, por ejemplo:```
# Нормальный ввод 192.168.0.1

# Примеры вредоносного ввода
192.168.0.1; rm -rf / #удаление файлов
192.168.0.1 & id & #выполнение произвольных команд

11. Script de explotación

11.1. Descripción general del script

Este script aprovecha la vulnerabilidad de inyección de comandos en la interfaz web del dispositivo para ejecutar comandos de forma remota mediante la creación de solicitudes HTTP especiales. El script explota la vulnerabilidad con dos solicitudes HTTP POST: la primera inyecta el comando, la segunda obtiene el resultado de la ejecución.

El primer paquete (netcore_set.cgi) está diseñado para: inyectar y ejecutar el comando

El segundo paquete (netcore_get.cgi) está diseñado para: obtener el resultado de la ejecución del comando

11.2 Primera etapa: inyección del comando

1. Construcción del cuerpo de la solicitud POST con los siguientes parámetros clave:``` { "mode_name": "netcore_set", "tools_type": "2", "tools_ip_url": f"| {command}", # точка инъекции команды "tools_cmd": "1", "net_tools_set": "1" }

2. Codificación URL de todos los parámetros
3. Envío de una solicitud POST a netcore_set.cgi

### 11.3 Segunda Etapa: obtención de resultados

1. Formación de la segunda solicitud POST:```
	{ "mode_name": "netcore_get",    
	  "noneed": "noneed" }

2. Отправка запроса на netcore_get.cgi
3. Парсинг поля tools_results в ответе для получения результата выполнения команды

11.4 Тестирование скриптов

Для тестирования скрипта я создал файл ceshi на хосте и попытался загрузить его на устройство через скрипт

Успешно!

Фактически эта уязвимость позволяет получить полный контроль над устройством, так как устройство по умолчанию использует root-доступ