s1lkys/cve-2020-29669Macally WIFISD2
CVE-2020-29669 분석 Maximilian Barz(Silky)와 Daniel Schwendner(code-byter) 작성
==========================
이 문서는 Macally WIFISD2-2A82 여행용 라우터(펌웨어 버전: 2.000.010)를 공격하는 방법에 대한 분석입니다. 게스트 사용자는 자신의 비밀번호를 재설정할 수 있습니다. 이 과정에는 관리자 계정을 탈취하고 셸 액세스를 얻는 데 사용될 수 있는 취약점이 있습니다. 관리자 사용자는 /etc/shadow 파일을 읽을 수 있으므로 각 사용자(루트 포함)의 비밀번호 해시를 덤프할 수 있습니다. 루트 해시는 쉽게 크랙될 수 있으며, 이는 전체 시스템 장악으로 이어집니다. 이 모든 것은 원래 게스트에게 제공되도록 설계된 게스트 계정에서 가능합니다.
.. image:: images/router.jpg :width: 1200
영향받는 파일: /protocol.csp
.. image:: images/base.png :width: 1200
웹 인터페이스에 게스트 계정으로 로그인합니다. 게스트와 관리자의 기본 비밀번호는 비어 있습니다.
.. image:: images/web_login.png :width: 1400
|
인증에 성공하면 비슷한 화면이 나타납니다.
.. image:: images/dashboard.png :width: 1200
| | |
설정 메뉴의 사용자 관리자로 이동하여 현재 사용자의 비밀번호를 변경할 수 있습니다.
.. image:: images/password_change.png :width: 1800
게스트는 자신의 비밀번호를 재설정할 수 있습니다. 빈 필드를 채우고 BurpSuite에서 요청을 캡처하세요.
.. image:: images/burp_1.png :width: 2100
name 값을 admin으로 변경하고 요청을 전달합니다.
.. image:: images/burp_2.png :width: 2100
웹 인터페이스에 "비밀번호가 성공적으로 변경되었습니다"라는 팝업 상자가 나타납니다.
.. image:: images/password_changed.png :width: 1400
| |
이전에 설정한 비밀번호로 telnet을 통해 관리자로 로그인합니다.
.. image:: images/telnet_login.png :width: 1200
관리자는 /etc/shadow 파일을 읽어 루트 해시를 확인할 수 있습니다.
.. image:: images/etc_password.png :width: 1200
전체 공격 과정은 파이썬 스크립트로 자동화되어 있습니다. 루트 셸을 생성(또는 루트 해시를 크랙)하려면 macally_exploit.py를 실행하세요.
.. code:: python
python3 macally_exploit.py 10.10.10.254
.. image:: images/exploit.png :width: 1600
CVE MITRE 항목: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29669.
Exploit-DB 항목: https://www.exploit-db.com/exploits/49256.
.. footer::
Maximilian Barz (OSCP), Email: [email protected], Twitter: S1lky_1337
Daniel Schwendner, Email: [email protected], Instagram: code_byter