code-byter/cve-2020-29669Macally WIFISD2
Maximilian Barz (Silky) 및 Daniel Schwendner (code-byter) 작성
==========================
이 문서는 Macally WIFISD2-2A82 여행용 라우터(펌웨어 버전: 2.000.010)를 익스플로잇하는 방법에 대한 분석입니다. 게스트 사용자는 자신의 비밀번호를 재설정할 수 있습니다. 이 과정에는 관리자 계정을 탈취하고 셸 액세스를 획득할 수 있는 취약점이 존재합니다. 관리자 사용자는 /etc/shadow 파일을 읽을 수 있으므로 각 사용자(루트 포함)의 비밀번호 해시를 덤프할 수 있습니다. 루트 해시는 쉽게 크래킹되어 전체 시스템이 손상됩니다. 이 모든 것이 원래 손님에게 제공되도록 설계된 게스트 계정에서 가능합니다.
.. image:: images/router.jpg :width: 1200
영향을 받는 파일: /protocol.csp
.. image:: images/base.png :width: 1200
웹 인터페이스에 게스트 계정으로 로그인합니다. 게스트와 관리자의 기본 비밀번호는 비어 있습니다.
.. image:: images/web_login.png :width: 1400
|
인증에 성공하면 비슷한 화면이 나타납니다.
.. image:: images/dashboard.png :width: 1200
| | |
설정 메뉴에서 사용자 관리자로 이동하여 현재 사용자의 비밀번호를 변경할 수 있습니다.
.. image:: images/password_change.png :width: 1800
게스트는 자신의 비밀번호를 재설정할 수 있습니다. 빈 필드를 채우고 BurpSuite에서 요청을 캡처합니다.
.. image:: images/burp_1.png :width: 2100
name 값을 admin으로 변경하고 요청을 전달합니다.
.. image:: images/burp_2.png :width: 2100
웹 인터페이스에 "Password changed successfully"라는 팝업 상자가 나타납니다.
.. image:: images/password_changed.png :width: 1400
| |
이전에 설정한 비밀번호로 telnet을 통해 관리자로 로그인합니다.
.. image:: images/telnet_login.png :width: 1200
관리자는 /etc/shadow 파일을 읽어 루트 해시를 노출할 수 있습니다.
.. image:: images/etc_password.png :width: 1200
전체 익스플로잇 과정은 파이썬 스크립트로 자동화됩니다. 루트 셸을 실행(또는 루트 해시 크래킹)하려면 macally_exploit.py를 실행하세요.
.. code:: python
python3 macally_exploit.py 10.10.10.254
.. image:: images/exploit.png :width: 1600
CVE MITRE 항목: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29669.
.. footer::
Maximilian Barz (OSCP), 이메일: [email protected], 트위터: S1lky_1337
Daniel Schwendner, 이메일: [email protected], 인스타그램: code_byter