D-Link路由器中的漏洞 (CVE-2017-14948)

在这篇简短的文章中，我们将看到我在D-Link产品中发现的一些漏洞。D-Link提供广泛的产品，包括许多不同的路由器型号，搭载不同的固件版本。在本文中，我将涉及以下固件版本：DIR-880L、DIR-868L、DIR-890L、DIR-885L 和 DIR-895L。
闲话少说，让我们开始。

固件分析

由于我没有拥有任何D-Link路由器，并且它们提供对其固件的免费访问，我决定仅通过静态分析来发现漏洞。请注意，在本节中，我将以DIR-880L固件为例，其他固件具有类似的结构。

DIR-880L

下载并解压DIR-880L固件后，我发现其固件包含一个完整的squashFS文件系统，包含约2160个文件。由于我不想单独检查每一个，我开始寻找处理用户输入的那个。

在分析配置文件并查找已知HTTP头后，我最终将重点缩小到三个二进制文件，并最终集中于一个文件：fileaccess.cgi。

以下是易受攻击函数的反汇编代码：

signed int __fastcall content_type(char *a1)
{
  char *dest; // [sp+4h] [bp-10h]@1
  const char *haystack; // [sp+Ch] [bp-8h]@1
  char *haystacka; // [sp+Ch] [bp-8h]@3

  dest = a1;
  haystack = getenv("CONTENT_TYPE");
  if ( !haystack )
    return -22;
  haystacka = strstr(haystack, "boundary=");
  if ( !haystacka )
    return -22;
  strcpy(dest, haystacka + 9);
  return 0;
}

在上述代码中，变量'CONTENT_TYPE'（由变量haystack指向）的内容由用户控制（通过HTTP请求头）。其内容在关键字'boundary'之后被复制到缓冲区dest中，而未检查haystacka的长度。如果查看调用函数（地址0x1CE6C），可以推断出dest的大小为256字节。由于攻击者可以控制CONTENT_TYPE的内容，因此可以发送字符串'boundary='后跟至少257个字符，以触发缓冲区溢出。

在同一固件样本中还发现了其他两个类似漏洞，涉及HTTP cookie。其中一个如下所示：

v10 = getenv("HTTP_COOKIE");
  if ( v10 )
  {
    strcpy((char *)&v5, &v10[v11]);
    v17 = strlen((const char *)&v5);
  }

这里，变量v10指向用户cookie，根据RFC2109，最大可达4k字节。然而，变量v5的大小为1024字节（根据函数的堆栈帧推断）。这可能会触发缓冲区溢出。

这些漏洞已被报告并得到D-Link的确认。

DIR-868L、DIR-890L、DIR-885L 和 DIR-895L

这些固件样本与DIR-880L具有相似的结构，并且存在与相同HTTP字段相关的相同漏洞。

d_link_880_bug

最受欢迎