POC - CVE-2024–10914- D-Link NAS 中 name 参数的命令注入漏洞

概述

在 D-Link DNS-320、DNS-320LW、DNS-325 和 DNS-340L（截至 20241028 版本）中发现了一个漏洞。该漏洞已被评定为严重级别。受此漏洞影响的函数是文件 /cgi-bin/account_mgr.cgi?cmd=cgi_user_add 中的 cgi_user_add。对参数 name 的操纵会导致操作系统命令注入。攻击可远程发起，攻击复杂度较高，利用难度较大。该利用方法已公开，可能被使用。

受影响设备

• DNS-320 版本 1.00
• DNS-320LW 版本 1.01.0914.2012
• DNS-325 版本 1.01、版本 1.02
• DNS-340L 版本 1.08

受影响组件

漏洞位于 account_mgr.cgi 脚本中，特别是在处理 cgi_user_add 命令时。该脚本中的 name 参数未充分清理输入，从而允许命令执行。

阅读更多 — CVE-2024-10914

免责声明：本概念验证（POC）仅用于教育和道德测试目的。未经双方事先同意，使用此工具攻击目标属于违法行为。最终用户有责任遵守所有适用的地方法律、州法律和联邦法律。开发人员不承担任何责任，也不对因使用本程序而导致的任何误用或损害负责。

入门指南

寻找目标

要寻找潜在目标，请使用 Fofa（类似于 Shodan.io）：

• Fofa 搜索语法：app="D_Link-DNS-ShareCenter" && server=="lighttpd/1.4.25-devel-fb150ff"

克隆仓库

首先，克隆仓库：

git clone https://github.com/verylazytech/CVE-2024-10914

运行漏洞利用：

对于 Linux / macOS：

bash ./cve-2024-10914.sh -u <url>

对于 Windows：

./cve-2024-10914.ps1 -u <url>