WooYun.org

RG-EG 授权绕过终结篇
笔者首先也复现了漏洞,看到厂商的回复 也以为最新版本可以解决问题 但是,介于YY-2012对厂商的质疑,笔者从仓库里提出一个设备升级到最新版本进行漏洞复现,果然问题依旧,只不过利用难度变得更加了困难而已,但是通过一天的学习,笔者从乌云学会了漏洞挖掘和分析的方法,凭借的不只在是运气和鼠标,而不是像WooYun-2014-82299作者那样,只是神来之笔,灵感乍现.
测试目标系统版本号 RGOS 10.3(4b10),
介于上次超威蓝猫XSS漏洞后 锐捷的确做出了很多改进,首先修补了几个漏洞,一切为群众所想,出了苹果及安智的APP,这些主动且亲民的做法都是值得肯定的,但是经查,问题依旧且出现更为严重的缺陷!!
首先一个厂商为了降低成本肯定在多个产品中使用一些可复用组件,这个无可厚非,但是一个组件出现问题可能危及全系列产品,所以希望厂商正视 这个没有杀灭的蚂蚁,千里之堤 依然在蚁穴威胁之下!!

//重新加载cache中的数据
		//$('#ifdata')[0].contentWindow.location.reload();
		$('#ifdata')[0].contentWindow.device = new ($('#ifdata')[0].contentWindow.Device)();
		this.make();
	},
	pointTo		:	function (id) {
		if(!this._hasAuth(id)){
			alert(Util.isZh ? '该页面不存在或当前用户无权限！':"This page does not exist or the current user without permission!");
			return;

新版本作了一些修改如上 以防止疑似 YY2012的 授权绕过 而路人甲的授权绕过和YY2012的授权绕过疑似同属一个原因的不同方法论.但是问题的确依旧
首先无法在添加后门了

auth.htm页面即便用超级管理员访问也会跳转到登陆页面或抛出错误.
但是 还是有蚂蚁 千里之堤依然会毁于蚁穴
首先建立一个最小权限用户 TEST

使用此权限登陆 权限小于GUEST 用户 所以更能说明问题

然后来个内网影射 影射到某服务器
这样操作 在登陆后的浏览器内 输入以下

URL http://路由器当今有效访问地址/nat_port.htm

结果如下图

虽然看不到映射表 操作也失败了 不要气馁 下面更精彩
如果来个淘气的小孩 可能做点坏事 恢复出厂设置把

http://192.168.250.1/setsys_reset.htm

于是洞主所有业务和网站被拒绝服务了 呜呜

增强信息 这个功能比较实用贴心 看看能否非授权访问

http://52.33.74.74/setsys_strong.htm

失败 返回到登陆页面
接着琢磨
导出数据库 里面或有国家机密 甚至 导致家庭破裂的潜在威胁 哈哈

http://路由器有效地址/datedown_web.htm

依旧跳到登陆页面 不过可不过
但是可但是...可以通过终止加载页面或者设置中断阻止页面跳转 然后脱裤

接下来我们干个真格的不饶弯子了 马上接触核心数据

代码setsys_backup.htm

其实,走到这里已经被完全渗透,一切都是浮云了

我们在折腾折腾 修改下密码把

http://192.168.1.1:5233/setsys_passw.htm

等下怎么回事

搞笑的问题来了 超级管理员用户被改了
笑而不语
网管协议 哈哈 核心汇聚 接入敏感信息多汇于此
snmp_server.htm
一切尽收眼底 如果银行的 的 赫赫
理论上可行 但是操作中失败
最后测试 重启操作
setsys_reload.htm
搞定

一次针对最新版本 RG-EG1000系列且配置完备仅存在一个若口令的设备的入侵演练 !!
还说啥 经查实
此系列设备最新版本 存在通用0DAY漏洞