Gambaran Umum Kerentanan Mikrotik Winbox. Atau file besar

Selamat siang, mungkin banyak yang telah mendengar tentang kerentanan terkini di router Mikrotik, yang memungkinkan Anda untuk mengekstrak kata sandi semua pengguna. Dalam artikel ini, saya ingin menunjukkan dan menganalisis secara rinci esensi dari kerentanan ini.

Semua materi disediakan hanya untuk tujuan informasi, sehingga kode yang mengeksploitasi kerentanan tidak akan ada di sini. Jika Anda tidak tertarik mempelajari penyebab dan struktur internal kerentanan tertentu, Anda dapat membaca.

Mari kita mulai

Hal pertama yang harus dimulai adalah analisis lalu lintas antara klien Winbox dan perangkat

Winbox adalah aplikasi untuk OS WIndows, yang persis mengulangi antarmuka web dan dirancang untuk mengelola dan mengkonfigurasi perangkat dengan OS Router on board. 2 mode operasi yang didukung, TCP dan UDP

Sebelum Anda mulai, Anda harus menonaktifkan enkripsi lalu lintas di Winbox. Ini dilakukan sebagai berikut: Anda perlu mengaktifkan kotak centang Tools -> Advanced Mode . Setelah itu, antarmuka akan berubah sebagai berikut:


Hapus centang pada Mode Aman . Luncurkan Wireshark dan coba masuk ke perangkat:


Seperti yang dapat Anda lihat di bawah, setelah otorisasi, file daftar diminta dan kemudian isinya ditransfer sepenuhnya kepada kami, sepertinya semuanya baik-baik saja, tetapi mari kita lihat di awal sesi ini:


Pada awalnya, Winbox mengirimkan paket yang sama persis meminta file daftar :


Pertimbangkan strukturnya:

1. 37010035 - ukuran paket
2. M2 adalah konstanta yang mengindikasikan awal suatu paket
3. 0500ff01 - variabel 0xff0005 pada nilai True
4. 0600ff09 01 - variabel 0xff0006 pada nilai 1 (Jumlah paket yang dikirimkan)
5. 0700ff09 07 - variabel 0xff0007 pada nilai 7 (Buka file dalam mode baca)
6. 01000021 04 6967374 - daftar string variabel 0x01000001 4 byte (Biasanya variabel ini bertanggung jawab untuk nama file)
7. 0200ff88 02 ... 00 - array 0xff0002 dengan ukuran 2 elemen
8. 0100ff88 02 ... 00 - array 0xff0001 dengan ukuran 2 elemen

Sebagai hasil dari protokol terbalik, dan file-file biner yang sesuai pada sisi klien dan server, dimungkinkan untuk memulihkan dan memahami struktur protokol di mana Winbox berkomunikasi dengan perangkat.


Sekarang, mengetahui cara kerja protokol, kita dapat secara acak menghasilkan paket yang kita butuhkan dan melihat bagaimana perangkat meresponsnya.

Di sisi perangkat, executable / nova / bin / mproxy bertanggung jawab untuk memproses paket. Karena nama-nama fungsi tidak disimpan, saya memanggil fungsi yang memproses paket dan membuat keputusan tentang apa yang harus dilakukan dengan file file_handler () . Lihatlah fungsi itu sendiri:

PS Kode yang akan menarik bagi kita ditandai dengan panah.

Langkah 1

Saat menerima paket untuk membuka file untuk dibaca, itu mulai diproses dari blok ini:


Pada awalnya, nama file diekstraksi dari paket menggunakan fungsi nv :: message :: get <nv :: string_id> () .

Selanjutnya, fungsi tokenize () membagi string yang dihasilkan menjadi bagian yang terpisah, menggunakan karakter " / " sebagai pembatas.

Array string yang dihasilkan dilewatkan ke fungsi path_filter () , yang memeriksa array string yang diterima untuk keberadaan " .. ", dan jika ada kesalahan mengembalikan kesalahan ERROR_NOTALLOWED (0xFE0009)

PS ERROR_NOTALLOWED juga akan diterima dalam respons jika tidak ada izin file

Jika semuanya baik-baik saja, maka path ke direktori webfig atau pckg disatukan dengan awal nama file

Langkah 2

Jika semuanya berjalan dengan baik, file terbuka dan pegangannya disimpan ke objek global.

Jika file tidak dapat dibuka, maka dalam respons kami mendapatkan kesalahan: tidak dapat membuka file sumber .


Jadi, untuk menerima konten file, 3 syarat harus dipenuhi:

1. Jalur file tidak mengandung " .. ";
2. Ada hak untuk mengakses file;
3. File ada dan dapat dibuka dengan sukses.

Sekarang mari kita coba mengirim beberapa paket untuk menguji fungsionalitas fungsi ini:

 $ ./untitled.py -t 192.168.88.1 -f /etc/passwd Error: SYS_ERRNO => ERROR_FAILED Error: SYS_ERRSTR => cannot open source file $ ./untitled.py -t 192.168.88.1 -f /../../../etc/passwd Error: SYS_ERRNO => ERROR_NOTALLOWED $ ./untitled.py -t 192.168.88.1 -f //./././././../etc/passwd Error: SYS_ERRNO => ERROR_FAILED Error: SYS_ERRSTR => cannot open source file 

Jadi! Tapi ini sudah aneh ... Kita ingat bahwa ERROR_NOTALLOWED muncul jika check in path_filter () tidak lulus, kalau tidak kita masih akan menerima pesan tentang kurangnya hak akses, tetapi dalam kasus terakhir, ternyata file tersebut dicari di direktori tingkat atas?

Mari kita coba cara ini:

 $ ./untitled.py -t 192.168.88.1 -f //./.././.././../etc/passwd xvM2        1Enobody:*:99:99:nobody:/tmp:/bin/sh root::0:0:root:/home/root:/bin/sh 

Dan itu berhasil. Tapi mengapa? Mari kita lihat kode fungsi path_filter ():


Kode dengan jelas menunjukkan bahwa pencarian untuk terjadinya " .. " di array string yang dihasilkan benar-benar terjadi. Tetapi bagian yang paling menarik, saya menyoroti bagian ini dengan warna merah.
Inti dari kode ini adalah: Jika item sebelumnya juga " .. ", maka cek dianggap gagal. Kalau tidak, pertimbangkan bahwa semuanya baik-baik saja.

Yaitu Agar semuanya berfungsi, Anda hanya perlu mengganti " /./ " dan " /../ " untuk berhasil menavigasi direktori mana pun dan turun ke tingkat FS apa pun.


Mari kita lihat bagaimana pengembang Mikrotik memperbaikinya:



Sekarang jalan keluar dari siklus verifikasi terjadi pada deteksi pertama " .. ". Benar, tidak sepenuhnya jelas bagi saya mengapa mereka menambahkan cek untuk terjadinya satu poin. Dan karena perubahan dalam mekanisme aktivasi pengguna devel , sayangnya, tidak ada cara untuk melihat ini dalam dinamika.

Untuk meringkas

1. Router OS memproses paket yang masuk tanpa masalah bahkan sebelum otorisasi pengguna
2. Karena filter yang salah, kami mendapatkan akses ke file apa pun

Dengan paragraf sebelumnya, kita dapat dengan mudah: membuat, menghapus, membaca, dan menulis file, serta membuat direktori arbitrer

Jadi tidak mengherankan bahwa memiliki akses untuk membaca file tanpa otorisasi, hal pertama yang dilakukan adalah membaca file dengan kata sandi pengguna. Untungnya, jaringan memiliki banyak informasi tentang di mana ia berada dan bagaimana cara mengekstrak data darinya.

Selain itu, kerentanan ini dapat menjadi pengganti yang sangat baik untuk kemungkinan yang sebelumnya diketahui mengaktifkan mode pengembang, karena Anda tidak perlu me-restart perangkat, lakukan backup \ restore file konfigurasi sekarang.