👩‍👩‍👦‍👦 ✌🏽 🔫 मिकरोटिक विनबॉक्स भेद्यता अवलोकन। या एक बड़ी फाइल 🚻 🐟 🕺🏿

अच्छे दिन, शायद कई ने मिकरोटिक राउटर में हाल ही में भेद्यता के बारे में सुना है, जो आपको सभी उपयोगकर्ताओं के पासवर्ड निकालने की अनुमति देता है। इस लेख में, मैं इस भेद्यता के सार को विस्तार से दिखाना और विश्लेषण करना चाहूंगा।

सभी सामग्री केवल सूचना के उद्देश्यों के लिए प्रदान की जाती है, इसलिए भेद्यता का फायदा उठाने वाला कोड यहां नहीं होगा। यदि आप किसी विशेष भेद्यता के कारणों और आंतरिक संरचना के बारे में जानने में रुचि नहीं रखते हैं, तो आप इस पर पढ़ सकते हैं।

चलिए शुरू करते हैं

शुरू करने के लिए पहली चीज Winbox क्लाइंट और डिवाइस के बीच ट्रैफ़िक विश्लेषण है

Winbox WIndows OS के लिए एक एप्लिकेशन है, जो वेब इंटरफ़ेस को बिल्कुल दोहराता है और बोर्ड पर राउटर ओएस के साथ डिवाइस को प्रशासित और कॉन्फ़िगर करने के लिए डिज़ाइन किया गया है। 2 ऑपरेटिंग मोड समर्थित, टीसीपी और यूडीपी

प्रारंभ करने से पहले, आपको Winbox में ट्रैफ़िक एन्क्रिप्शन को अक्षम करना चाहिए। यह निम्नानुसार किया जाता है: आपको चेकबॉक्स टूल -> उन्नत मोड को सक्षम करने की आवश्यकता है। उसके बाद, इंटरफ़ेस निम्नानुसार बदल जाएगा:

सुरक्षित मोड अनचेक करें। Wireshark लॉन्च करें और डिवाइस में लॉग इन करने का प्रयास करें:

जैसा कि आप नीचे देख सकते हैं, प्राधिकरण के बाद, एक सूची फ़ाइल का अनुरोध किया जाता है और फिर इसकी सामग्री पूरी तरह से हमारे पास स्थानांतरित हो जाती है, ऐसा लग सकता है कि सब कुछ ठीक है, लेकिन आइए इस सत्र की शुरुआत में देखें:

बहुत शुरुआत में, Winbox सूची फ़ाइल का अनुरोध करने वाला सटीक पैकेज भेजता है:

इसकी संरचना पर विचार करें:

37010035 - पैकेज का आकार
एम 2 एक निरंतर एक पैकेट की शुरुआत का संकेत है
0500ff01 - चर 0xff0005 मान सत्य में
0600ff09 01 - मान 1 में चर 0xff0006 (प्रेषित पैकेट की संख्या)
0700ff09 07 - मूल्य 7 पर चर 0xff0007 (रीड मोड में खुली फ़ाइल)
01000021 04 6967374 - 4 बाइट्स की चर 0x01000001 स्ट्रिंग सूची (आमतौर पर यह चर फ़ाइल के नाम के लिए जिम्मेदार है)
0200ff88 02 ... 00 - 2 तत्वों के आकार के साथ 0xff0002 की एक सरणी
0100ff88 02 ... 00 - 2 तत्वों के आकार के साथ 0xff0001 की एक सरणी

प्रोटोकॉल रिवर्स के परिणामस्वरूप, और क्लाइंट और सर्वर साइड पर संबंधित बाइनरी फाइलें, प्रोटोकॉल की संरचना को काफी हद तक पुनर्स्थापित करना और समझना संभव था जिसके द्वारा Winbox डिवाइस के साथ संचार करता है।

एनवीएमएजेज प्रोटोकॉल विवरण

फ़ील्ड प्रकार (नाम: डिजिटल पदनाम)

u32: 0x08000000
u32_array: 0x88000000
स्ट्रिंग: 0x20000000
string_array: 0xA0000000
addr6: 0x18000000
addr6_array: 0x98000000
u64: 0x10000000
u64_array: 0x90000000
सच: 0x00000000
झूठी: 0x01000000
bool_array: 0x80000000
संदेश: 0x28000000
message_array: 0xA8000000
कच्चा: 0x30000000
raw_array: 0xB0000000
u8: 0x09000000
be32_array: 0x88000000

त्रुटियों के प्रकार (नाम: डिजिटल पदनाम)

SYS_TO: 0xFF0001
STD_UNDOID: 0xFE0006
STD_DESCR: 0xFE0009
STD_FINISHED: 0xFE000B
STD_DYNAMIC: 0xFE0007
STD_INACTIVE: 0xFE0008
STD_GETALLID: 0xFE0003
STD_GETALLNO: 0xFE0004
STD_NEXTID: 0xFE0005
STD_ID: 0xFE0001
STD_OBJS: 0xFE0002
SYS_ERRNO: 0xFF0008
SYS_POLICY: 0xFF000B
SYS_CTRL_ARG: 0xFF000F
SYS_RADDR6: 0xFF0013
SYS_CTRL: 0xFF000D
SYS_ERRSTR: 0xFF0009
SYS_USER: 0xFF000A
SYS_STATUS: 0xFF0004
SYS_FROM: 0xFF0002
SYS_TYPE: 0xFF0003
SYS_REQID: 0xFF0006

त्रुटि मान (नाम: डिजिटल पदनाम)

ERROR_FAILED: 0xFE0006
ERROR_TOOBIG: 0xFE000A
ERROR_EXISTS: 0xFE0007
ERROR_NOTALLOWED: 0xFE0009
ERROR_BUSY: 0xFE000C
ERROR_UNKNOWN: 0xFE0001
ERROR_BRKPATH: 0xFE0002
ERROR_UNKNOWNID: 0xFE0004
ERROR_UNKNOWNNEXTID: 0xFE000B
ERROR_TIMEOUT: 0xFE000D
ERROR_TOOMUCH: 0xFE000E
ERROR_NOTIMP: 0xFE0003
ERROR_MISSING: 0xFE0005
STATUS_OK: 0x01
STATUS_ERROR: 0x02

एक पैकेज में फ़ील्ड संरचना

किसी भी क्षेत्र की शुरुआत में इसका प्रकार है - 4 बाइट्स (3 बाइट्स - चर का उद्देश्य, उस पर बाद में, 1 बाइट - सीधे इस वेरिएबल का प्रकार) फिर लंबाई 1-2 बाइट्स होती है और मूल्य स्वयं।

सरणियों

निम्न संरचना द्वारा आंकिक रूप से, सरणी का वर्णन किया जा सकता है:

struct Array { uint32 type; uint8 count; uint32 item1; uint32 item2; ... uint8 zero; }

प्रकार (4 बाइट) / तत्वों की संख्या (1 बाइट) / तत्व (4 बाइट्स) / बाइट के अंत में \ N00

पंक्तियां

स्ट्रिंग्स को समाप्त नहीं किया गया है, लेकिन स्पष्ट रूप से परिभाषित लंबाई है:

 struct String { uint32 type; uint8 length; char text[length]; }

संख्या

पैकेज में सबसे सरल प्रकार, इसे मूल्य प्रकार के रूप में दर्शाया जा सकता है:

 struct u* { uint32 type; uint8/32/64 value; }

प्रकार के आधार पर, मूल्य में एक समान बिट आयाम होता है।

बुलियन प्रकार

फ़ील्ड का आकार 4 बाइट्स है, उच्च बाइट मान (True \ False) के लिए जिम्मेदार है, निचले 3 बाइट्स वेरिएबल को असाइन करने के लिए हैं

इसके अतिरिक्त, प्रत्येक पैकेज में शामिल हैं:

पैकेज की शुरुआत को इंगित करने के लिए विशेष मार्कर
पैकेज का आकार
बड़े पैकेज नियंत्रण बाजार

स्थिरांक मिले

0xfe0001 - सत्र पहचानकर्ता को शामिल करता है (1 बाइट)
0xff0006 - भेजे गए पैकेट की संख्या (1 बाइट)
0xff0007 - फ़ाइल एक्सेस मोड (1 बाइट)

फ़ाइल एक्सेस मोड

7 - पढ़ने के लिए खुला
1 - रिकॉर्डिंग के लिए खुला
6 - निर्देशिका बनाएँ
4 - पढ़ा
5 - हटाएं

अब, यह जानना कि प्रोटोकॉल कैसे काम करता है, हम बेतरतीब ढंग से उन पैकेजों को उत्पन्न कर सकते हैं जिनकी हमें ज़रूरत है और यह देखें कि डिवाइस उनके लिए कैसे प्रतिक्रिया करता है।

डिवाइस पक्ष पर, पैकेट को संसाधित करने के लिए निष्पादन योग्य / नोवा / बिन / mproxy जिम्मेदार है। चूंकि फ़ंक्शन के नाम सहेजे नहीं गए थे, इसलिए मैंने एक फ़ंक्शन को कॉल किया जो पैकेज को संसाधित करता है और फ़ाइल_हैंडलर () फ़ाइल के साथ क्या करना है के बारे में निर्णय लेता है। फंक्शन पर एक नज़र डालें:

PS वह कोड जो हमें रूचि देगा, तीर के साथ चिह्नित है।

चरण 1

पढ़ने के लिए फ़ाइल खोलने के लिए पैकेज प्राप्त करते समय, यह इस ब्लॉक से प्रोसेसिंग शुरू करता है:

बहुत शुरुआत में, फ़ाइल का नाम पैकेज से फ़ंक्शन nv :: message :: get <nv: string_id> () का उपयोग करके निकाला जाता है।

अगला, टोकन () फ़ंक्शन परिणामस्वरूप स्ट्रिंग को अलग-अलग भागों में विभाजित करता है, " / " वर्ण को सीमांकक के रूप में उपयोग करता है।

स्ट्रिंग्स का परिणामी सरणी path_filter () फ़ंक्शन को पास किया जाता है, जो " .. " की उपस्थिति के लिए स्ट्रिंग्स के प्राप्त सरणी की जांच करता है, और त्रुटियों के मामले में त्रुटि त्रुटि ERROR_NOTALLOWED (0xFE0009)

यदि फ़ाइल की अनुमति नहीं है, तो PS ERROR_NOTALLOWED को भी प्रतिक्रिया मिलेगी

यदि सब कुछ ठीक है, तो फ़ाइल नाम की शुरुआत के लिए वेबफिग या पीकेजी निर्देशिका का मार्ग संक्षिप्त है।

चरण 2

यदि सब कुछ ठीक हो गया, तो फ़ाइल खुलती है और इसका हैंडल वैश्विक ऑब्जेक्ट पर सहेजा जाता है।

यदि फ़ाइल नहीं खोली जा सकती है, तो प्रतिक्रिया में हमें एक त्रुटि मिलती है: स्रोत फ़ाइल नहीं खोल सकता ।

इस प्रकार, किसी फ़ाइल की सामग्री प्राप्त करने के लिए, 3 शर्तों को पूरा करना होगा:

फ़ाइल पथ में " .. " शामिल नहीं है;
फ़ाइल तक पहुंचने के अधिकार हैं;
फ़ाइल मौजूद है और इसे सफलतापूर्वक खोला जा सकता है।

अब इस फ़ंक्शन की कार्यक्षमता का परीक्षण करने के लिए कुछ पैकेज भेजने का प्रयास करें:

 $ ./untitled.py -t 192.168.88.1 -f /etc/passwd Error: SYS_ERRNO => ERROR_FAILED Error: SYS_ERRSTR => cannot open source file $ ./untitled.py -t 192.168.88.1 -f /../../../etc/passwd Error: SYS_ERRNO => ERROR_NOTALLOWED $ ./untitled.py -t 192.168.88.1 -f //./././././../etc/passwd Error: SYS_ERRNO => ERROR_FAILED Error: SYS_ERRSTR => cannot open source file

तो! लेकिन यह पहले से ही अजीब है ... हमें याद है कि ERROR_NOTALLOWED प्रकट होता है अगर path_filter () में चेक पास नहीं हुआ, अन्यथा हमें अभी भी एक्सेस अधिकारों की कमी के बारे में एक संदेश प्राप्त होता, लेकिन बाद के मामले में, यह पता चला कि फ़ाइल शीर्ष-स्तरीय निर्देशिका में खोजी गई थी?

आइए इस तरह से कोशिश करें:

 $ ./untitled.py -t 192.168.88.1 -f //./.././.././../etc/passwd xvM2        1Enobody:*:99:99:nobody:/tmp:/bin/sh root::0:0:root:/home/root:/bin/sh

और इसने काम किया। लेकिन क्यों? पथ_फिल्टर () फ़ंक्शन कोड पर एक नज़र डालते हैं:

कोड स्पष्ट रूप से दिखाता है कि स्ट्रिंग के परिणामस्वरूप सरणी में " .. " की घटना की खोज वास्तव में हो रही है। लेकिन फिर सबसे दिलचस्प हिस्सा, मैंने इस टुकड़े को लाल रंग में उजागर किया।
इस कोड का सार यह है कि: यदि पिछला आइटम भी " .. " है, तो चेक को विफल माना जाता है। अन्यथा, विचार करें कि सब कुछ ठीक है।

यानी सब कुछ काम करने के लिए, आपको बस किसी भी निर्देशिका के माध्यम से सफलतापूर्वक नेविगेट करने और FS के किसी भी स्तर तक उतरने के लिए " /./ " और " /../ " को वैकल्पिक करने की आवश्यकता है।

आइए देखें कि मिकरोटिक डेवलपर्स ने इसे कैसे तय किया:

छद्म-सी कोड तुलना

अब सत्यापन चक्र से बाहर निकलना " .. " की पहली पहचान पर होता है। सच है, यह मेरे लिए पूरी तरह से स्पष्ट नहीं है कि उन्होंने एक बिंदु की घटना के लिए एक चेक क्यों जोड़ा। और डेवेल उपयोगकर्ता के सक्रियण तंत्र में बदलाव के कारण, दुर्भाग्य से, गतिशीलता में इसे देखने का कोई तरीका नहीं है।

संक्षेप में देना

राउटर ओएस उपयोगकर्ता प्राधिकरण से पहले ही समस्याओं के बिना आने वाले पैकेटों को संसाधित करता है
एक गलत फ़िल्टर के कारण, हम किसी भी फ़ाइल तक पहुँच प्राप्त करते हैं

पिछले पैराग्राफ को देखते हुए, हम आसानी से कर सकते हैं: फ़ाइलों को बनाना, हटाना, पढ़ना और लिखना, साथ ही साथ मनमाना निर्देशिका बनाना

इसलिए यह आश्चर्य की बात नहीं है कि प्राधिकरण के बिना किसी भी फाइल को पढ़ने के लिए उपयोग करने के बाद, पहली चीज जो उपयोगकर्ता पासवर्ड के साथ फाइल पढ़ रही थी। सौभाग्य से, नेटवर्क के पास इस बारे में बहुत जानकारी है कि वह कहाँ स्थित है और उससे डेटा कैसे निकाला जाए।

इसके अलावा, यह भेद्यता डेवलपर मोड को सक्रिय करने की पहले से ज्ञात संभावना के लिए एक उत्कृष्ट प्रतिस्थापन हो सकती है, क्योंकि आपको डिवाइस को पुनरारंभ करने की आवश्यकता नहीं है, बैकअप फ़ाइल को अब पुनर्स्थापित करें।

मिकरोटिक विनबॉक्स भेद्यता अवलोकन। या एक बड़ी फाइल