[姿势] 如何使用D-Link路由器构建僵尸网络

我们将跟大家讨论我们在几台顶级D-Link路由器中发现的安全漏洞，受影响的路由器型号如下：

-DIR890L
-DIR885L
-DIR895L
-以及其他相关的DIR8xx型号D-Link路由器

这些设备使用的是相同的代码，因此攻击者将能够利用这些设备中存在的安全漏洞来组成一个庞大的僵尸网络。除此之外，我们还将尝试通过修改路由器的编译脚本来制作一个模拟的Mirai僵尸网络。

本文所要讨论的主要是D-Link路由器设备中的两个安全漏洞。其中一个与cgibin（cgibin是主要的CGI文件，它负责生成用于控制路由器的Web接口页面）有关，另一个漏洞则与系统恢复功能有关。

窃取登录凭证

简而言之，你只需要发送一个HTTP请求，你就可以窃取到路由器的登录名和密码了。

我们所检测到的第一个漏洞存在于phpcgi中。phpcgi是一个指向cgibin的符号链接，它负责处理所有针对.php、.asp和.txt页面的请求。它可以对通过URL、HTTP头或POST请求的body所发送的数据进行解析，phpcgi会创建一个长字符串，而这个字符串之后会被处理成一系列键值对，并被用于$_GET、$_POST和$_SERVER等字典以及php脚本变量之中。完成了请求分析之后，符号链接会检测用户是否经过了身份验证。如果用户没有被授权，它便会将字符串中的AUTHORIZED_GROUP变量值设置为-1。

这里的问题就在于，整个解析过程是存在安全漏洞的。每一个键值对都是按照以下形式编码的：_TYPE_KEY = VALUE，其中TYPE可以是GET、POST或SERVER。接下来，键值对会使用分行符’n’来进行连接。

通过发送POST请求，我们可以使用SomeValue%3dAUTHORIZED_GROUP=1这个值来添加一个键。这个键将会被解析成_GET_SomeKey=SomeValuenAUTHORIZED_GROUP=1，而它将允许我们触发脚本运行。

接下来，通过向http://192.168.0.1/getcfg.php发送一个请求，然后将键值对SERVICES=DEVICE.ACOUNT添加进去，我们就可以调用 /htdocs/webinc/getcfg/DEVICE.ACCOUNT.xml.php脚本，而这个脚本将给我们返回路由器的登录名和密码。

很明显，这个安全问题将允许任何一名攻击者运行存储在/htdocs/webinc/getcfg文件夹中的脚本，而且除了刚才这个脚本之外，目录中还有一个名叫DEVICE.ACCOUNT.xml.php的脚本同样可以帮助攻击者窃取到包括设备登录名和密码在内的重要信息。

换句话说，如果攻击者向http://192.168.0.1/getcfg.php发送了一个请求，并添加了键值对SERVICES=DEVICE.ACOUNT，那么路由器所返回的响应页面中同样将包含设备的登录名以及密码。

针对phpcgi的漏洞利用代码：【点我获取】

路由器的超级用户访问（从远程代码执行到root权限）

除了刚才所介绍的之外，攻击者甚至还可以使用他们自己的固件来对设备进行更新。

与之前一样，攻击者只需要发送一个HTTP请求就能够拿到路由器设备的root-shell。长话短说，第二个漏洞是一个由执行错误所引起的栈缓冲区移除漏洞。【HNAP】

为了通过协议来发送消息，攻击者需要向http://192.168.0.1/HNAP1/页面发送一个请求，然后在SOAPACTION头中指定请求的类型。存在漏洞的是身份认证请求的处理过程，而”http:⁄/purenetworks.com/HNAP1/Login”这个值是用来调用身份认证功能的。因此，攻击者就可以在请求body中指定另一个不同的键值对：Action、Username、LoginPassword和Captcha。接下来，这些键都被编码成HTML标签。例如<key>值</key>