CVE-2022-39066

固件详情：

wa_inner_version: BD_POSTEMF286RMODULEV1.0.0B12
cr_version: CR_ITPOSTEMF286RV1.0.0B10

先决条件

• requests（pip install requests）

SQL 注入

该漏洞是 Web 服务器 goahead 二进制文件中 PHONE_BLOCK_ADD 处理器存在的 SQL 注入。

可能的利用方式：

• 删除任意数据库中的任意记录
• 在任意数据库中添加伪造记录
• 在具有 rw- 权限的任意目录中创建指定名称的文件（如果该文件不存在）
• 内存 DoS
• ...

本漏洞的 PoC 位于此目录中，请确保 syslog 未启用，因为我们需要该文件不存在。使用脚本 poc.py 并执行以下命令：

$ python3 exploit.py http://<router> <admin_password>

它演示了攻击者如何写入文件，本例中将写入 /var/log/webshow_messages（Web 日志）文件，并通过 cgi-bin/ExportSyslog.sh 获取写入的文件。

该脚本主要使用以下 payload：test'); ATTACH DATABASE '/var/log/webshow_messages' AS t; CREATE TABLE t.pwn (dataz text);INSERT INTO t.pwn (dataz) VALUES ('testestestest');--"

作者

• Andrea Maugeri

参考链接

https://support.zte.com.cn/support/news/LoopholeInfoDetail.aspx?newsId=1027744