wayos维盟路由器固件模拟与多个漏洞复现

发表于： 2022年11月21日 2022年11月23日
分类：运维

针对于wayos固件利用FirmAE进行固件模拟，解包后进行多个漏洞复现，涉及到telent服务的mqtt协议问题、csrf漏洞、命令注入漏洞，并且在复现过程中详细解释了漏洞挖掘的流程与思路。

0x01 固件模拟

尝试使用FirmAE进行固件模拟; 8081和800

访问192.168.1.1，80端口，可以进入到wayos路由器的用户登录界面。

以默认账户口令root admin可以登录到用户管理界面;

0x02 固件解包获取文件系统

binwalk -Me WAN\_9900-21.10.09V.trx

0x03 mqtt协议telnet账户泄露漏洞

rcS是linux启动配置脚本文件，在会linux启动后执行。查看他的rcS文件发现会自启动telnet，固件模拟之后对端口进行扫描发现确实开启了telnet服务。

利用grep命令搜索字符串:WayOS和login，然后取并集，发现这两个词同时出现在mqtt_ai这个文件中，然后对这个文件进行逆向分析。

采用string字符串定位login，然后交叉引用跳转到相关的函数进行分析。

这里是MIPS架构的文件，我的IDA逆向F5反编译的时候发生问题，这里尝试使用Ghidra进行反编译，找到上述定位到的函数mqtt_ai_sw_telnet_login。


undefined4 mqtt\_ai\_sw\_telnet\_login(int param\_1,int param\_2)  
{  
  ssize\_t sVar2;  
  int iVar3;  
  size\_t sVar4;  
  uint uVar5;  
  int iVar6;  
  char \*pcVar7;  
  char local\_2028 \[4096\];  
  char acStack4136 \[4096\];  
  char cVar1;  
  
  memset(acStack4136,0,0x1000);  
  iVar6 = 0;  
  memset(local\_2028,0,0x1000);  
  do {  
    while( true ) {       #双层循环，外层循环为死循环  
      memset(local\_2028,0,0x1000);  
      sVar2 = recv(param\_1,local\_2028,0x1000,0);    
      if (sVar2 < 1) {        #recv失败检查，local\_2028为缓冲区  
        return 0xffffffff;  
      }  
      for (pcVar7 = local\_2028;   #字符处理  
          ((cVar1 = \*pcVar7, cVar1 == '\\r' || (cVar1 == '\\n')) || (cVar1 == ' '));  
          pcVar7 = pcVar7 + 1) {  
      }  
      iVar3 = strncmp(pcVar7,"User Name:",10);  
      if (iVar3 != 0) break;    #检查是否为User Name，如果是推出内部循环  
      if (3 < iVar6) {      #iVar为尝试次数，3次失败后return 0xfffffff  
        puts("login failed");  
        return 0xffffffff;  
      }  
      sVar4 = snprintf(acStack4136,0x1000,"root\\n");  将acStack4136赋值为root  
      if (0xfff < sVar4) {  
        sVar4 = 0xfff;      
      }  
      send(param\_1,acStack4136,sVar4,0); #send发送root  
      sVar4 = snprintf(acStack4136,0x1000,"admin\\n");  将acStack4136赋值为admin  
      if (0xfff < sVar4) {  
        sVar4 = 0xfff;  
      }  
      send(param\_1,acStack4136,sVar4,0);           #send发送admin  
      sVar4 = snprintf(acStack4136,0x1000,"enable\\n");  
      if (0xfff < sVar4) {  
        sVar4 = 0xfff;  
      }     
      send(param\_1,acStack4136,sVar4,0);    #send发送enable  
      pcVar7 = "configure\\n";  
LAB\_0044c564:  
      iVar6 = iVar6 + 1;     #验证次数加一  
      uVar5 = snprintf(acStack4136,0x1000,pcVar7);  
      sVar4 = 0xfff;  
      if (uVar5 < 0x1000) {  
        sVar4 = uVar5;  
      }  
      send(param\_1,acStack4136,sVar4,0);      #send发送configure，而且这一步pcVar7改变，就不会再被进入其他strcmp验证  
    }  #内层循环结束  
    iVar3 = strncmp(pcVar7,"Login:",6);  #匹配关键指纹login：，进入login的验证模式  
    if (iVar3 == 0) {  
      if (3 < iVar6) goto LAB\_0044c7bc;    
      sVar4 = snprintf(acStack4136,0x1000,"root\\n");  
      if (0xfff < sVar4) {  
        sVar4 = 0xfff;           
      }  
      send(param\_1,acStack4136,sVar4,0);   #send发送root  
      pcVar7 = "admin\\n";  
      goto LAB\_0044c564;        #send发送admin,尝试次数加一,再去发送configure  
    }  
    iVar3 = strncmp(pcVar7,"Username:",9);    #再次匹配Username:  
    if (iVar3 == 0) {  
      if (3 < iVar6) {  
LAB\_0044c7bc:  
        puts("login failed");  
        return 0xffffffff;  
      }  
      sVar4 = snprintf(acStack4136,0x1000,"admin\\n");  
      if (0xfff < sVar4) {  
        sVar4 = 0xfff;  
      }  
      send(param\_1,acStack4136,sVar4,0);  
      iVar6 = iVar6 + 1;  
      uVar5 = snprintf(acStack4136,0x1000,"admin\\n");  
      sVar4 = 0xfff;  
      if (uVar5 < 0x1000) {  
        sVar4 = uVar5;  
      }  
      send(param\_1,acStack4136,sVar4,0);  
      \*(undefined \*)(param\_2 + 0x31) = 2;  
    }  
    else {                                      #针对于configure处理                
      if (\*(char \*)(param\_2 + 0x31) == '\\x02') {  
        sVar4 = strlen(pcVar7);  
        iVar3 = strncmp(pcVar7 + (sVar4 - 2),"# ",2);  
        if (iVar3 == 0) {  
          return 0;  
        }  
      }  
      else {  
        sVar4 = strlen(pcVar7);  
      }  
      iVar3 = strncmp(pcVar7 + (sVar4 - 10),"(config)# ",10);  
      if (iVar3 == 0) {  
        \*(undefined \*)(param\_2 + 0x31) = 0;  
        return 0;  
      }  
      pcVar7 = strstr(pcVar7,"WayOS#");  
      if (pcVar7 != (char \*)0x0) {  
        \*(undefined \*)(param\_2 + 0x31) = 1;  
        return 0;  
      }  
    }  
  } while( true );  
}