复现 DLink DIR-859 RCE 漏洞（CVE-2019–20215）_d-link dir-859 1.05 and 1.06b01 beta01 devices all-程序员宅基地

复现 DLink DIR-859 RCE 漏洞（CVE-2019–20215）

漏洞介绍
漏洞影响
漏洞等级
环境搭建
模拟攻击
漏洞原理
解决方案

漏洞介绍

该漏洞允许远程攻击者通过 urn 执行任意操作系统命令：到 /htdocs/cgibin 中 ssdpcgi()中的 M-SEARCH 方法，因为 REMOTE_PORT 处理不当。urn： service/device 的值使用 strstr 函数进行检查，该函数允许攻击者连接由 shell 元字符分隔的任意命令。

漏洞影响

D-Link DIR-859 1.05 和 1.06B01 Beta01 设备

漏洞等级

严重

环境搭建

在 kali 中下载 FirmAE
运行仿真固件

这个固件是千镜杯赛题，iot 部分下载得到 DIR.zip，解压后得到 DIR859Ax_FW106b01_beta01.bin
用 FirmAE 将固件运行起来。
用binwalk提取文件系统

模拟攻击

网上已有该漏洞poc，可直接利用。
poc
因为是未授权漏洞，所以可以使用poc直接打
在这里插入图片描述

漏洞原理

分析exp知漏洞点在ssdpcgi()中发现了远程执行代码漏洞，供应商已经创建了一个修补程序来修复该漏洞。使用HTTP_ST为攻击向量。
ida分析cgbin中的ssdpcgi_main函数。

分析函数后，知道我们需要完成以下步骤来利用此漏洞。
必须在 ST 变量中发送值 urn:，以达到其他条件而不执行返回。
检查是否发送了两个字符串device或service中的一个。这样，我们已经可以验证漏洞的存在，因为strstr()函数允许连接命令。
该字符串作为参数发送到 lxmldbc_system()。

查看堆栈
在这里插入图片描述

查看lxmldbc_system()函数
在这里插入图片描述
发现这些字符串未过滤便直接传给了lxmldbc_system函数并作为参数带入。
因此我们可以控制这些值或将其他值连接到现有值，例如REMOTE_PORT=13;ls和 SERVER_ID=1;ls，则这些值使用 vsnprintf（）存储在缓冲区中，以格式化最终命令。
返回后，格式化的命令将存储在记录 s0=buffer 所指向的缓冲区中，该缓冲区将是系统（s0）函数的参数。转储（内存）也与结构一样显示。当注入的命令被以字符串的格式引用时。我们便得到了触发了命令注入。
在这里插入图片描述
这样，我们只要构造包头为

IP="127.0.0.1"
PORT="1337"
METHOD=”M-SEARCH”
URI="/"
HTTP_ST="urn:device:1;{cmd}"
REMOTE_PORT="13"
SERVER_ID="1"

即可任意命令执行。

解决方案

升级固件至1.06B01 Beta01以上。

本文链接：https://blog.csdn.net/wcwdnmdnmd/article/details/122052333

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

AVFrame&AVPacket_天天av-程序员宅基地

文章浏览阅读1.5w次。AVFrame：（ This structure describes decoded (raw) audio or video data. AVFrame must be allocated using av_frame_alloc(). Note that this only allocates the AVFrame itself, the buffers for the data mus_天天av

Java经典例题07：用100元人民币兑换10元、5元、1元的纸币_编程把100元换成1元5元10元-程序员宅基地

文章浏览阅读3.5k次，点赞2次，收藏12次。解题思路分析：1.100元兑换10元纸币，可以兑换10张，但每种纸币都要有，所以最多只能兑换9张，最少兑换1张。则初始值为1；循环条件小于10或者小于等于9。2.100元兑换5元纸币，可以兑换20，但每种纸币都要有，所以最多只能兑换19张，最少兑换1张。初始值为1；循环条件小于20或者小于等于19。3.100元兑换1元纸币，可以兑换100张，但每种纸币都要有，所以最多只能兑换99张，最少兑换1张。则初始值为1；循环条件小于100或者小于等于99。_编程把100元换成1元5元10元

猜三次年龄_找人猜三次年龄-程序员宅基地

文章浏览阅读450次。1、允许用户最多尝试三次2、每尝试三次后，如果还没猜对，就问用户是否继续玩，如果回答Y，y，就继续猜三次，以此往复，如果回答N，n，就直接退出times=0count=3while times<=3:age=int(input(‘请输入年龄：’))if age == 18:print(‘猜对了’)breakelif age > 18:print(‘猜大了’)else:print(‘猜小了’)times+=1if times3:choose = input(‘继续猜Y_找人猜三次年龄

SDOI2017 Round2 详细题解-程序员宅基地

文章浏览阅读152次。这套题实在是太神仙了。。做了我好久。。。好多题都是去搜题解才会的 TAT。剩的那道题先咕着，如果省选没有退役就来填吧。「SDOI2017」龙与地下城题意丢 \(Y\) 次骰子，骰子有 \(X\) 面，每一面的概率均等，取值为 \([0, X)\) ，问最后取值在 \([a, b]\) 之间的概率。一个浮点数，绝对误差不超过 \(0.013579\) 为正确。数据范围每组数据有 \...

嵌入式数据库-Sqlite3-程序员宅基地

文章浏览阅读1.1k次，点赞36次，收藏25次。阅读引言：本文将会从环境sqlite3的安装、数据库的基础知识、sqlite3命令、以及sqlite的sql语句最后还有一个完整的代码实例，相信仔细学习完这篇内容之后大家一定能有所收获。

C++ Builder编写WinForm从Web服务器下载文件-程序员宅基地

文章浏览阅读51次。UnicodeString templateSavePath = ChangeFileExt(ExtractFilePath(Application->ExeName),"tmp.doc");IdAntiFreeze1->OnlyWhenIdle = false;//设置使程序有反应.TMemoryStream *templateStream ;templateStre..._c++webserver下载文件