Macally WIFISD2-2A82

Разбор CVE-2020-29669 авторы: Maximilian Barz (Silky) и Daniel Schwendner (code-byter)

==========================

Это разбор эксплуатации портативного маршрутизатора Macally WIFISD2-2A82 (версия прошивки: 2.000.010). Гость может сбросить свой собственный пароль. В этом процессе есть уязвимость, которую можно использовать для захвата учётной записи администратора, что приводит к получению доступа к шеллу. Поскольку администратор может читать файл /etc/shadow, можно выгрузить хеши паролей всех пользователей (включая root). Хеш root легко взламывается, что приводит к полной компрометации системы. И всё это — из гостевой учётной записи, которая предназначена для выдачи гостям.

.. image:: images/router.jpg :width: 1200

Базовая оценка CVSS 3.1: 8.7

Затронутый файл: /protocol.csp

.. image:: images/base.png :width: 1200

Пошаговое руководство / PoC:

Шаг 1:

Войдите в веб-интерфейс под учётной записью guest. Пароль по умолчанию для guest и admin — пустой.

.. image:: images/web_login.png :width: 1400

После успешной аутентификации должен появиться похожий экран.

.. image:: images/dashboard.png :width: 1200

| | |

Шаг 2:

Перейдите в меню «Управление пользователями» в настройках, где можно изменить пароль текущего пользователя.

.. image:: images/password_change.png :width: 1800

Гость может сбросить свой собственный пароль: заполните пустые поля и перехватите запрос в BurpSuite.

.. image:: images/burp_1.png :width: 2100

Измените значение поля name на admin и переправьте запрос.

.. image:: images/burp_2.png :width: 2100

В веб-интерфейсе появится всплывающее окно с сообщением «Пароль успешно изменён».

.. image:: images/password_changed.png :width: 1400

| |

Шаг 3:

Войдите как admin через telnet, используя ранее заданный пароль.

.. image:: images/telnet_login.png :width: 1200

Администратор может прочитать файл /etc/shadow, раскрывающий хеш root.

.. image:: images/etc_password.png :width: 1200

Эксплойт

Весь процесс эксплуатации автоматизирован с помощью Python-скрипта. Чтобы получить root-шелл (или взломать хеш root), запустите macally_exploit.py.

.. code:: python

python3 macally_exploit.py 10.10.10.254

.. image:: images/exploit.png :width: 1600

Запись CVE MITRE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29669.

.. footer::

Maximilian Barz (OSCP), Email: [email protected], Twitter: S1lky_1337

Daniel Schwendner, Email: [email protected], Instagram: code_byter

CVE-2020-29669

Популярное