Real World Finals 2018 Router
Building Environment
搭建整个模拟路由环境并启动snmp服务
路由器版本:
1 | Netgear R6300 v2 |
首先下载openwrt的源码(18.06.1和18.06.2皆可，只是最后EXP中偏移可能不同)
配置config：
1 | Target System: BCM47XX/53XX |
而后保存配置并编译
在编译好的文件中找到编译好的文件系统：
1 | # ls |
有两个思路：
1 | 通过文件系统制作镜像，再用qemu启动 #没有成功 |
我选择直接在树莓派中搭建环境
(也可以在qemu system mode下的arm虚拟机中启动，后面有说明)
将文件系统整个放入树莓派中(包括比赛的两个ipk包)：
而后配置chroot环境：
1 | sudo mount proc chroot_dir/proc -t proc |
开启chroot环境：
1 | sudo chroot . ./bin/sh |
而后安装比赛的snmp环境：
1 | opkg install ./libnetsnmp_5.8-1_arm_cortex-a9.ipk |
确认snmp服务启动：
路由器环境端:
1 | / # netstat -anp|grep snmpd |
本机端：
1 | kirin@kirin-virtual-machine:~$ snmpwalk -v 1 -c public 192.168.137.33 .1 |
同样得，在qemu system模式下启动的arm虚拟机也可以启动服务：
1 | 下载内核&&镜像 |
Find R/W at Any Address in MIB
在搭建的路由器环境下gdbserver运行snmpd，IDA下动态调试追踪程序流
可以看到snmp服务会先初始化mib，agent等环境：
1 | LOAD:000125B8 BL init_mib_modules |
在init_mib_modules中可以看到：
1 | int init_mib_modules() |
其会先调用init_greatSensors()注册回调函数：
1 | LOAD:000008E0 init_greatSensors ; CODE XREF: j_init_greatSensors+8↑j |
可以看到其注册了两个回调函数，动态调试下看到注册过程：
1 | int __fastcall sub_76F59344(int a1, int a2, int a3, int a4) |
首先是写入函数地址：
而后函数名称：
而后mib对象对应的OID：
可以看到此OID：1.3.6.1.4.1.2021.13.32.2.0
当利用snmpset/snmpget对此对象进行读写操作时，会利用netsnmp_call_handler函数处理对象，最终调用对应此OID的回调函数：handle_greatMiscSensorsDevice函数
netsnmp_call_handler关键部分：
1 | v10 = (int (__fastcall *)(int *, int, int *, int))v8[3]; |
同样另一个回调函数handle_greatMiscSensorsIndex对应OID：
即：1.3.6.1.4.1.2021.13.32.1.0
这时候关注两个回调函数，发现了任意地址读写：
handle_greatMiscSensorsDevice：
1 | int __fastcall handle_greatMiscSensorsDevice(int a1, int a2, signed int *a3, _DWORD *a4) |
handle_greatMiscSensorsIndex:
1 | int __fastcall handle_greatMiscSensorsIndex(int a1, int a2, signed int *a3, _DWORD *a4) |
可以看到handle_greatMiscSensorsDevice中：
当使用snmpset写对象时，
1 | #*a3从0循环->0 1 2 3 0 1 2 3...... |
mid_address是在snmp服务启动mib初始化时在init_greatSensors中：
1 | result = malloc(0x78u); |
而val_str在handle_greatMiscSensorsIndex中可以进行设置：
1 | vla_str = **(_DWORD **)(*a4 + 16); |
即我们对OID对象1.3.6.1.4.1.2021.13.32.1.0设置的值
所以当我们依次调用handle_greatMiscSensorsIndex进行设置vla_str，此值只需小于29(在这里设置为负数即可)，而后调用handle_greatMiscSensorsDevice即可实现任意地址写
任意地址读相同原理，当snmpget读取对象时，会调用：
1 | #v8 = (const char *)(mib_address + 4 * vla_str); |
即会将对象的值设置我们构造地址处的值
而后取出对象value返回给snmpget完成任意地址读
POC
首先需要leak libc
想到注册回调函数位置
利用任意地址读找到注册函数保存地址来leak libc
1 | hex(0x76F5F9F0-0x76F5F40c)=0x5e4 |
而后再次利用handle来劫持程序流，即netsnmp_call_handler中：
1 | v10 = (int (__fastcall *)(int *, int, int *, int))v8[3]; |
这时候只需要事先布置好一条ROP链，最后将handle改为我们的rop chain地址即可劫持程序流，最终达到RCE：
1 | ROPgadget --binary ./libc.so |
最终POC：
1 | #针对我模拟的路由环境,具体情况可能需要修改偏移 |
Run POC&&Get Shell
1 | python payload.py router_ip |
1 | 文章首发先知社区： |