CVE-2018-12633-TPLink-Auth-Bypass

针对 TP-Link TL-WR840N 固件中身份验证绕过漏洞（CVE-2018-12633）的技术案例研究与利用分析。

漏洞分析：TP-Link TL-WR840N 身份验证绕过（CVE-2018-12633）

⚠️ 免责声明： 本仓库仅用于教育和研究目的。此处提供的分析旨在展示旧版固件中的漏洞，以强调生命周期管理和补丁应用的重要性。未经授权利用您不拥有的设备属于违法行为。

📄 执行摘要

本案例研究记录了对 CVE-2018-12633 的成功利用过程。该漏洞是 TP-Link TL-WR840N 无线 N 路由器 HTTPd 服务器中的一个关键逻辑缺陷。此漏洞允许未认证的攻击者通过操纵 HTTP Referer 头来绕过登录机制，从而获得完全的管理员访问权限并窃取敏感数据。

🐛 漏洞概况

• 目标设备： TP-Link TL-WR840N（约 2018 年 6 月固件）
• 漏洞类型： 通过报文头操纵实现身份验证绕过
• CVSS v3.x 评分： 9.8（严重）
• 攻击向量： 网络 / 低复杂度 / 无需特权

🛠️ 技术分析

缺陷根源

旧版 Web 服务器逻辑仅依据 HTTP Referer 头来验证请求，而非使用安全的会话令牌。如果某个请求声称来源于内部页面 mainFrame.htm，服务器便会将该请求视为已通过身份验证。

利用方法

阶段 1：侦察

由于多次登录失败，设备出现了管理锁定（错误 9003）。在此固件版本中，由于 API 端点经过混淆，标准 JavaScript 控制台注入（查询 $.act 函数）未能生效。

阶段 2：利用（报文头操纵）

我们使用 curl 构造了一个请求，以绕过锁定并直接访问配置文件路径。

攻击命令：

curl -H "Referer: http://192.168.0.1/mainFrame.htm" \
     "http://192.168.0.1/userRpm/Romfile.cfg" \
     -o router_backup.bin

阶段 3：数据外泄与解密

结果： 成功下载了 router_backup.bin（约 6KB）。 解密： 该二进制文件使用 DES 加密。借助 RouterPassView 或自定义的 Python DES 解密器，我们恢复了以下内容： 明文管理员密码 PPPoE 凭据 WAN 静态 IP 配置 Wi-Fi SSID 和密钥

🛡️ 缓解与防御

为保护网络基础设施免受此特定攻击向量的影响，应采取以下措施： 固件升级（关键）： 更新至 2018 年底之后发布的固件版本。 禁用远程管理： 确保端口 8080 未暴露于 WAN（将远程管理 IP 设置为 0.0.0.0）。 凭据轮换： 由于配置文件在解密后可能包含明文形式的机密信息，所有相关密码必须立即轮换。

🔮 未来展望

虽然 CVE-2018-12633 是一个逻辑缺陷，但嵌入式设备安全的新兴趋势表明，攻击向量正转向更复杂的类型，包括： 嵌入式 Web 服务器中的 SQL 注入（例如，针对 SQLite 会话管理的 CVE-2025-29649）。 自动化 UPnP 数据包解析中的缓冲区溢出。

📚 参考

NIST 国家漏洞数据库 - CVE-2018-12633 Exploit-DB：TP-Link WR840N 远程配置泄露

作者：Ignatius Wilhelmus Kim Kerans 网络安全专家 | 网络基础设施工程师