POC - CVE-2024–10914 - D-Link NAS name 参数中的命令注入漏洞

概述

在 D-Link DNS-320、DNS-320LW、DNS-325 和 DNS-340L（截至 20241028）中发现了一个漏洞。该漏洞被评定为严重。受此漏洞影响的函数是文件 /cgi-bin/account_mgr.cgi?cmd=cgi_user_add 中的 cgi_user_add 函数。对参数 name 的操作导致了操作系统命令注入。攻击可远程发起。攻击复杂度相当高，利用似乎很困难。该利用代码已向公众披露，可能被使用。

受影响设备

• DNS-320 Version 1.00
• DNS-320LW Version 1.01.0914.2012
• DNS-325 Version 1.01, Version 1.02
• DNS-340L Version 1.08

受影响组件

该漏洞位于 account_mgr.cgi 脚本中，特别是在处理 cgi_user_add 命令时。该脚本中的 name 参数没有充分过滤输入，导致命令执行。

了解更多 — CVE-2024-10914

免责声明: 此概念验证（POC）仅用于教育和道德测试目的。未经事先双方同意，使用此工具攻击目标是违法的。最终用户有责任遵守所有适用的地方、州和联邦法律。开发者不承担任何责任，也不对因使用本程序造成的任何误用或损害负责。

开始使用

寻找目标

要寻找潜在目标，请使用 Fofa（类似于 Shodan.io）：

• Fofa Dork: app="D_Link-DNS-ShareCenter" && server=="lighttpd/1.4.25-devel-fb150ff"

克隆仓库

首先，克隆仓库：

git clone https://github.com/yenyangmjaze/cve-2024-10914

运行漏洞利用：

对于 Linux / MacOs:

bash ./cve-2024-10914.sh -u <url>

对于 Windows:

./cve-2024-10914.ps1 -u <url>