Übersicht über die Sicherheitsanfälligkeit in Mikrotik Winbox. Oder eine große Datei

Guten Tag, wahrscheinlich haben viele von der jüngsten Sicherheitslücke in Mikrotik-Routern gehört, mit der Sie die Passwörter aller Benutzer extrahieren können. In diesem Artikel möchte ich das Wesentliche dieser Sicherheitsanfälligkeit detailliert zeigen und analysieren.

Das gesamte Material wird nur zu Informationszwecken bereitgestellt, sodass der Code, der die Sicherheitsanfälligkeit ausnutzt, nicht hier ist. Wenn Sie nicht daran interessiert sind, die Ursachen und die interne Struktur einer bestimmten Sicherheitsanfälligkeit zu erfahren, können Sie weiterlesen.

Fangen wir an

Als erstes muss die Verkehrsanalyse zwischen dem Winbox-Client und dem Gerät gestartet werden

Winbox ist eine Anwendung für das Windows-Betriebssystem, die die Weboberfläche genau wiederholt und das Gerät mit integriertem Router-Betriebssystem verwaltet und konfiguriert. 2 Betriebsarten unterstützt, TCP und UDP

Bevor Sie beginnen, sollten Sie die Verkehrsverschlüsselung in Winbox deaktivieren. Dies geschieht wie folgt: Sie müssen das Kontrollkästchen Extras -> Erweiterter Modus aktivieren. Danach ändert sich die Schnittstelle wie folgt:


Deaktivieren Sie den sicheren Modus . Starten Sie Wireshark und versuchen Sie, sich am Gerät anzumelden:


Wie Sie unten sehen können, wird nach der Autorisierung eine Listendatei angefordert und ihr Inhalt dann vollständig an uns übertragen. Es scheint, dass alles in Ordnung ist, aber schauen wir uns den Anfang dieser Sitzung an:


Zu Beginn sendet Winbox genau dasselbe Paket, in dem die Listendatei angefordert wird:


Betrachten Sie seine Struktur:

1. 37010035 - Packungsgröße
2. M2 ist eine Konstante, die den Start eines Pakets angibt
3. 0500ff01 - Variable 0xff0005 im Wert True
4. 0600ff09 01 - Variable 0xff0006 in Wert 1 (Anzahl der übertragenen Pakete)
5. 0700ff09 07 - Variable 0xff0007 bei Wert 7 (Datei im Lesemodus öffnen)
6. 01000021 04 6967374 - Variable 0x01000001 Zeichenfolgenliste mit 4 Bytes (normalerweise ist diese Variable für den Namen der Datei verantwortlich)
7. 0200ff88 02 ... 00 - ein Array von 0xff0002 mit einer Größe von 2 Elementen
8. 0100ff88 02 ... 00 - Ein Array von 0xff0001 mit einer Größe von 2 Elementen

Durch die Protokollumkehr und die entsprechenden Binärdateien auf Client- und Serverseite konnte die Struktur des Protokolls, über das Winbox mit dem Gerät kommuniziert, wiederhergestellt und in größerem Umfang verstanden werden.


Wenn wir nun wissen, wie das Protokoll funktioniert, können wir zufällig die benötigten Pakete generieren und beobachten, wie das Gerät darauf reagiert.

Auf der Geräteseite ist die ausführbare Datei / nova / bin / mproxy für die Verarbeitung der Pakete verantwortlich. Da die Namen der Funktionen nicht gespeichert wurden, habe ich eine Funktion aufgerufen, die das Paket verarbeitet und Entscheidungen darüber trifft, was mit der Datei file_handler () geschehen soll . Schauen Sie sich die Funktion selbst an:

PS Der Code, der uns interessiert, ist mit Pfeilen markiert.

Schritt 1

Wenn Sie ein Paket zum Öffnen einer Datei zum Lesen erhalten, wird die Verarbeitung von diesem Block aus gestartet:


Zu Beginn wird der Dateiname mit der Funktion nv :: message :: get <nv :: string_id> () aus dem Paket extrahiert.

Als nächstes teilt die Funktion tokenize () die resultierende Zeichenfolge in separate Teile auf, wobei das Zeichen " / " als Trennzeichen verwendet wird.

Das resultierende Array von Zeichenfolgen wird an die Funktion path_filter () übergeben , die das empfangene Array von Zeichenfolgen auf das Vorhandensein von " .. " überprüft und im Fehlerfall einen Fehler ERROR_NOTALLOWED (0xFE0009) zurückgibt.

PS ERROR_NOTALLOWED wird auch in der Antwort empfangen, wenn keine Dateiberechtigungen vorliegen

Wenn alles in Ordnung ist, wird der Pfad zum Verzeichnis webfig oder pckg an den Anfang des Dateinamens gekettet

Schritt 2

Wenn alles gut gegangen ist, wird die Datei geöffnet und ihr Handle im globalen Objekt gespeichert.

Wenn die Datei nicht geöffnet werden konnte, wird in der Antwort eine Fehlermeldung angezeigt: Die Quelldatei kann nicht geöffnet werden .


Um den Inhalt einer Datei zu erhalten, müssen also drei Bedingungen erfüllt sein:

1. Der Dateipfad enthält nicht " .. ";
2. Es gibt Rechte, auf die Datei zuzugreifen.
3. Die Datei existiert und kann erfolgreich geöffnet werden.

Versuchen wir nun, einige Pakete zu senden, um die Funktionalität dieser Funktion zu testen:

 $ ./untitled.py -t 192.168.88.1 -f /etc/passwd Error: SYS_ERRNO => ERROR_FAILED Error: SYS_ERRSTR => cannot open source file $ ./untitled.py -t 192.168.88.1 -f /../../../etc/passwd Error: SYS_ERRNO => ERROR_NOTALLOWED $ ./untitled.py -t 192.168.88.1 -f //./././././../etc/passwd Error: SYS_ERRNO => ERROR_FAILED Error: SYS_ERRSTR => cannot open source file 

Also! Aber das ist schon seltsam ... Wir erinnern uns, dass ERROR_NOTALLOWED angezeigt wird, wenn die Prüfung in path_filter () nicht bestanden wurde, andernfalls würden wir immer noch eine Nachricht über das Fehlen von Zugriffsrechten erhalten, aber im letzteren Fall stellt sich heraus, dass die Datei im Verzeichnis der obersten Ebene durchsucht wurde?

Versuchen wir es so:

 $ ./untitled.py -t 192.168.88.1 -f //./.././.././../etc/passwd xvM2        1Enobody:*:99:99:nobody:/tmp:/bin/sh root::0:0:root:/home/root:/bin/sh 

Und es hat funktioniert. Aber warum? Schauen wir uns den Funktionscode path_filter () an :


Der Code zeigt deutlich, dass die Suche nach dem Auftreten von " .. " in dem resultierenden Array von Zeichenfolgen tatsächlich stattfindet. Aber dann, der interessanteste Teil, habe ich dieses Fragment rot hervorgehoben.
Der Kern dieses Codes besteht darin, dass: Wenn das vorherige Element auch " .. " ist, wird die Prüfung als fehlgeschlagen betrachtet. Ansonsten bedenken Sie, dass alles in Ordnung ist.

Das heißt, Damit alles funktioniert, müssen Sie nur " /./ " und " /../ " abwechseln, um erfolgreich durch alle Verzeichnisse zu navigieren und zu einer beliebigen Ebene des FS abzusteigen.


Mal sehen, wie die Mikrotik-Entwickler das Problem behoben haben:



Das Verlassen des Verifizierungszyklus erfolgt nun beim ersten Erkennen von " .. ". Es ist mir allerdings nicht ganz klar, warum sie eine Prüfung für das Auftreten eines Punktes hinzugefügt haben. Und aufgrund einer Änderung des Aktivierungsmechanismus des Entwicklers gibt es leider keine Möglichkeit, dies in der Dynamik zu sehen.

Zusammenfassend

1. Das Router-Betriebssystem verarbeitet eingehende Pakete bereits vor der Benutzerautorisierung ohne Probleme
2. Aufgrund eines falschen Filters erhalten wir Zugriff auf jede Datei

In Anbetracht der vorherigen Absätze können wir auf einfache Weise: Dateien erstellen, löschen, lesen und schreiben sowie beliebige Verzeichnisse erstellen

Es ist daher nicht verwunderlich, dass der Zugriff zum Lesen von Dateien ohne Autorisierung das erste war, was getan wurde, indem die Datei mit Benutzerkennwörtern gelesen wurde. Glücklicherweise verfügt das Netzwerk über zahlreiche Informationen darüber, wo es sich befindet und wie Daten daraus extrahiert werden können.

Diese Sicherheitsanfälligkeit kann auch ein hervorragender Ersatz für die bisher bekannte Möglichkeit sein, den Entwicklermodus zu aktivieren, da Sie das Gerät nicht neu starten müssen. Sichern / Wiederherstellen der Konfigurationsdatei jetzt.