ZIKH26's Blog

前言

针对 TP-Link SR20 做漏洞复现的时候，学习到了 C 程序调用 lua 文件所造成的命令执行漏洞，同时该路由器还存在一个命令注入的点。TDDP 是 TP-LINK 在 UDP 通信基础上设计的一种调试协议，当 TP-Link SR20 运行了 V1 版本的 TDDP 协议，在无需认证的情况下，往 SR20 设备的 UDP 1040 端口发送特定数据就可以造成命令注入漏洞或利用 TFTP 服务下载指定 LUA 文件并以 root 权限将其执行。还好这个协议的逆向量挺小的 😶‍🌫️

固件下载链接:https://www.tp-link.com/us/support/download/sr20/#Firmware

固件版本: SR20(US)_V1_180518

前言

跟着 winmt 师傅的私房笔记做了一个 D-Link 的命令注入漏洞复现（ CNVD-2018-01084），由于前一段做了一个 CVE-2018-7034复现–TrendNet路由器登录信息泄露 ，那个固件当时进行了仔细分析，而这次的 DIR-815 和 TrendNet 里的 cgibin 几乎一致 ，因此只针对漏洞利用部分进行了详细分析。

前言

本文记录了一次失败的漏洞挖掘经历，但正是因为自己都在进行主观的思考，即使是失败了，这一次也学到了一些东西。我认为跟着别人文章照猫画虎成功做一遍，不如失败的独立思考探索有意义😎

前言

该漏洞的利用是通过发送 POST 报文在正常字段 SERVICES=DEVICE.ACCOUNT 后紧跟了一个 AUTHORIZED_GROUP=1 （二者用 %0a 连接），导致 cgibin 文件解析时先识别到了第一个 = ，认为 SERVICES 是键，DEVICE.ACCOUNT%0aAUTHORIZED_GROUP=1 是值。随后又对字符串进行解码，%0a 处理为 \n，此时内存中字符串为 _POST_SERVICES=DEVICE.ACCOUNT\nAUTHORIZED_GROUP=1 ，后续在 cgibin 中认证失败，在此基础上添加了 AUTHORIZED_GROUP=-1 。

之后把整个数据发送给 php 文件进行处理， getcfg.php 文件中if($AUTHORIZED_GROUP < 0) 获取字段值时，首先解析到的是 AUTHORIZED_GROUP=1 从而通过了验证。又因为可以加载 htdocs/webinc/getcfg 目录下的任意文件，最终造成敏感文件的信息泄露

前言

本文对 CVE-2017-17215 的复现过程进行了记录，该漏洞位于华为 HG532 路由器，在 UPnP 服务中存在 NewStatusURL 和 NewDownloadURL 标签中的命令注入。通过向端口 37215 ，地址为 /ctrlt/DeviceUpgrade_1 发送 POST 报文进行漏洞的触发。整体而言，这个漏洞确实是目前复现过最简单的了，但自己在做的时候依然踩了一些坑…😅

这道所谓的工控题目其实就是一道CTF的流量分析+逆向的迷宫题。鉴于是第一次认真复现和总结流量分析和逆向的题目，感觉学到了不少东西，写篇博客记录一下。

前言

最近浅玩了一下树莓派，本以为要焊接电路板，搞硬件。也算是为之后拆路由器读芯片练练手，接触后发现给树莓派烧录完系统，基本还是玩的软件层（也可能是境界不够🤔）。本文记录了我用树莓派 zero w 配合 P4wnP1 ALOA 做了一个 badusb ，最终配合 Cobalt Strike 生成的木马以及红队大哥做的免杀，可以达到插谁，谁成肉鸡的效果😎

LD_PRELOAD

LD_PRELOAD 是 Linux 系统的一个环境变量，它允许运行程序时优先强制加载指定的动态链接库，并且由于 全局符号介入机制 的影响，LD_PRELOAD 指定的动态链接库中的函数会覆盖之后其他动态链接库中的同名函数。对于调试程序或者向程序中注入自定义的代码都是很方便的，本文记录了如何通过 LD_PRELOAD 环境变量来 hook 程序，达到植入后门和调试的目的

前言

winmt 师傅之前挖到了一个锐捷的未授权 RCE 漏洞，影响了该厂商下的众多路由器、交换机、中继器等设备。winmt 师傅已经发布了 相关的挖掘经历，对仿真的搭建和漏洞分析已经写的比较详细。本篇文章主要是自己对该漏洞调用链进行一个完整的梳理，以及在 winmt 师傅文章中未提到的部分我会进行记录。

前言

这算第二次复现 IOT 漏洞，第一次是很老的 DIR-815 ，第二次直接复现的是 winmt 师傅今年挖到的一个思科漏洞 CVE-2023-20073 。年份上跨越不算小，就导致了复现过程中屡屡遇到问题而没什么解决的办法，而网上除了 winmt 师傅本人做了漏洞的分析之外，也没有找到其他资料。这里发自内心的感谢 winmt 师傅给予我提供的指导和帮助，否则可能要走更多的弯路甚至会对很多地方一知半解的就完成了所谓的 “复现” ，写这篇文章的一个重要目的就是想帮助之后复现这个漏洞的师傅提供一些参考，毕竟不是每个人都能遇见一个万能的 winmt QAQ。本文对于 CVE-2023-20073 复现过程做了详尽的记录，其中包括了遇见过的各种坑和解决问题的方法及思路。再次对 winmt 师傅表示感谢！

漏洞介绍

Cisco RV340，RV340W，RV345和 RV345P 四款型号的路由器中最新固件均存在一个未授权任意文件上传漏洞 （且目前尚未修复），攻击者可以在未授权的情况下将文件上传到 /tmp/upload 目录中，然后利用 upload.cgi 程序中存在的漏洞，最终造成存储型 XSS 攻击。