基于goahead 的固件程序分析
前言
本文由 本人 首发于 先知安全技术社区： https://xz.aliyun.com/u/5274
最近在分析 dlink 的一个固件时遇到了用 goahead 开发的 web 服务。本文以一个 github 上的 开源项目为例简单介绍下对基于 goahead 的程序的分析。
https://github.com/Grant999/goahead-1
这里用的 goahead 程序的版本为 2.5
正文
编译运行
把源码下载下来，然后使用 make 编译即可。
$ make
................................................
................................................
................................................
gcc -m32 -g -O0 -Wall -DWITH_NONAMESPACES -o webs -Os \
-DWEBS -DOS="LINUX" -DLINUX -DUSER_MANAGEMENT_SUPPORT -DDIGEST_ACCESS_SUPPORT -I. -g -O0 -Wall \
main.o libwebs.a
tempnam' is dangerous, better use `mkstemp'
编译完成后当前目录下会生成一个 webs 的文件， 这个就是 goahead 编译完成生成的二进制文件。
然后运行它，就会在 80 端口起一个 http 服务（监听 80 端口需要权限， 所以用 root 运行程序）。
$ sudo ./webs
webdir: ./www
然后用 浏览器去访问
分析
要测试一个东西，首先需要尽可能的去了解它（信息搜集）。
goahead 开发 api
我们首先了解一下 goahead 的工作机制。
GoAhead 自身实现了一个 web 服务器所需提供的基本功能，此外它提供了多种方法供用户扩展服务器的功能， 其中包括 asp过程、GoForms 过程 , embedded JavaScript 以及外部 cgi 程序等， 用户可以根据这些接口开发出各种各样的功能。
对于 goahead 本身， 这个项目时间也非常就久了，安全性也得到了检验，所以我们分析的重点不是goahead 本身的代码，而应该是用户自定义的那些代码。
相关的 api 如下
websUrlHandlerDefine
websUrlHandlerDefine(T("/goform"), NULL, 0, websFormHandler, 0);
表示 对 /goform 的请求都交给 websFormHandler 函数处理。函数的参数列表如下
int websFormHandler(webs_t wp, char_t *urlPrefix, char_t *webDir, int arg,
char_t *url, char_t *path, char_t *query)
其中 wp 这个参数里面包含了用户 请求的相关信息，比如请求头， 请求数据等。开发者通过 wp 这个参数就能获取到 用户请求的信息了。
websAspDefine
websAspDefine(T("aspTest"), aspTest);
当在 asp 文件中调用 aspTest, 实际调用的是这里 aspTest 这个 c 函数
ps:
调用的 asp 函数的语句需要用 <% %> 包围
websFormDefine
websFormDefine(T("privacy"), FormPrivacy);
和 websUrlHandlerDefine 差不多， 表示往 /goform/privacy 的请求由 FormPrivacy 这个函数进行处理。
漏洞分析
根据上面提到的 api 在源代码里面搜索引用，可以很快的找的注册用户自定义回调函数的位置。
位于 initWebs 函数
向上面4个 websUrlHandlerDefine 是 goahead 自带的，这里不管它。
通过对下面几个注册的函数的简单浏览，在 FormPrivacy 函数内部存在一个栈溢出漏洞。
下面对这个函数做一个简单的分析
首先用
websGetVar(wp, T("Operate"), T(""))
获取 Operate 参数的值， 然后根据值的不同，进行不同的操作。
问题出在了 set 这操作的处理逻辑
首先取出几个参数， 然后使用 sprintf 把参数填到 szParam 这个缓冲区 （缓冲区大小为 20 * 20)， 这里 sprintf 使用的是 %s 不会校验字符串的长度，所以当我们传一个很长的字符串作为 Height 的参数值，就会触发栈溢出。
触发+简单调试
通过搜索关键字，定位到往这里 发请求的应该是 privacy.asp
然后访问他
填些参数然后抓包， 修改 Height 的值为一个很长的字符串
同时在 FormPrivacy 设置一个断点， 发送请求过去，程序会断下来， 我们可以看看参数信息。
可以看到 wp 里面保存了此次请求的相关信息， 继续运行可以触发栈溢出
总结
分析 goahead 等可供开发者扩展的程序，分析的重点应该在那些自定义的代码上。
