TP-Link-Archer-CR-700-XSS-Exploit

TP-Link Archer CR-700 ルーターの悪用。(TP-Link に責任を持って開示済み)

Step 1-> Linux マシン (Kali または Ubuntu) で次のコマンドを入力します

gedit /etc/dhcp/dhclient.conf

以下の行をコメントアウトしてください #send host-name = gethostname();

それを次の行にコピーし、gethostname() 関数を下記のような XSS スクリプトに変更します。

send host-name = "<script>alert(5)</script>";

Step 2: 変更を有効にするために Linux システムを再起動します。

Step 3: 以下のコマンドでルーターに DHCP 要求を送信し、IP アドレスを取得します。(TP-Link Archer CR-700 を使用しているオープンなネットワークルーターで試してください)

dhclient -v -i wlan0

上記のコマンドを実行すると、DHCP 要求がルーターに送信されます。DHCP 要求では、ホスト名が送信されますが、そのホスト名を無理やり XSS スクリプト <script>alert(5)</script> に設定しています。

Step 4: 管理者コンソールにログインします。

ログインするとスクリプトが実行されます。

このルーターで確認したもう 1 つの問題は、CSRF トークンが存在しないことです。ルーターが設定する cookie には base64 エンコードされたユーザー名とパスワードが含まれており、XSS スクリプトを使用して盗み出すことができます。

注: 上記の情報はすべて TP-Link に開示済みで、TP-Link は問題を再現し、修正のために R&D チームに引き渡しました。