D-Link DSL-3782代码注入漏洞CVE-2022-34527分析

 

作者：景琇

提取固件并分析

 

binwalk -Me DSL-3782_A1_EU_1.01_07282016.bin

 

查看/usr/etc/init.d/rcS

 

#Web serverif [ ! -d "/var/boaroot/html/" ] || [ ! -d "/var/boaroot/cgi-bin/" ]; then/userfs/bin/boa -c /boaroot -d &/bin/rm -rf /var/boarootelse/userfs/bin/boa -c /var/boaroot -d &fi

 

说明boa为web server。

定位漏洞点

查询资料，官网说漏洞点出在cfg_manager的byte_4C0160中，使用IDA寻找一下。

进入sub_474c78，v0 = system(byte_4C0160);中使用system进行命令执行。

但是无法判断byte_4C0160是否为用户可控，寻找byte_4C0160的赋值点，查看byte_4C0160的调用。

addiu $s2,$v0,(byte_4c0160-0x4c0000)是MIPS的相加指令，即$s2=$v0+(byte_4c0160-0x4c0000)，跟进查看。

 

.text:00474BD8                 addiu   $s2, $v0, (byte_4C0160 - 0x4C0000).text:00474BDC                 move    $a0, $s2.text:00474BE0                 move    $a1, $zero.text:00474BE4                 jalr    $t9 ; memset.text:00474BE8                 li      $a2, 0x80.text:00474BEC                 li      $v0, 0x70  # 'p'.text:00474BF0                 beq     $s0, $v0, loc_474C58.text:00474BF4                 lw      $gp, 0x10($sp).text:00474BF8                 la      $t9, sprintf.text:00474BFC                 lui     $a1, 0x4A  # 'J'.text:00474C00                 move    $a0, $s2.text:00474C04                 li      $a1, aTracerouteNM10  # "traceroute -n -m 10 -w 2 %s > /tmp/var/"....text:00474C08                 jalr    $t9 ; sprintf.text:00474C0C                 move    $a2, $s1.text:00474C10                 lw      $gp, 0x10($sp).text:00474C14.text:00474C14 loc_474C14:                              # CODE XREF: .text:00474C70↓j.text:00474C14                 la      $t9, pthread_create.text:00474C18                 li      $a2, sub_474C78

 

根据这段汇编，可以看到byte_4c0160传值给了$s2，然后给了$a0，然后调用了sprintf，然后通过pthread_create调用了我们发现调用system函数的sub_474c78。

　　审核编辑：汤梓红