[公开漏洞]锐捷某系列网关产品从XSS盲打到完全控制网关并留下后门

来源：WooYun　浏览：849次　时间：2014-06-16

锐捷某系列网关产品从XSS盲打到完全控制网关并留下后门相关厂商： ruijie.com.cn 漏洞作者：超威蓝猫提交时间：2014-05-01 15:19 公开时间：2014-06-15 15:20 漏洞类型：xss跨站脚本攻击危害等级：高自评Rank：20 漏洞状态：厂商已经确认漏洞来源：http://www.wooyun.org Tags标签：存储型xss 漏洞详情披露状态：

2014-05-01：细节已通知厂商并且等待厂商处理中
2014-05-02：厂商已经确认，细节仅向厂商公开
2014-05-12：细节向核心白帽子及相关领域专家公开
2014-05-22：细节向普通白帽子公开
2014-06-01：细节向实习白帽子公开
2014-06-15：细节向公众公开

简要描述：

这是一份由一个人写了3个小时的报告。

详细说明：

测试对象:锐捷 EG-1000S with RGOS 10.3(4b10), Release(164555)

可能影响: EG1000C、EG1000S、EG1000M、EG1000CM、EG1000L等EG1000全系列产品

存在的问题:

•XSS可盲打管理后台；

•管理员帐号(admin)的密码存储在cookie中；

•管理页面可留下较隐蔽的XSS后门实现永久控制。

利用条件:

•在锐捷网关的内网中且网关开启了「内容审计」功能。

『问题1』XSS可盲打管理后台

•成因分析

锐捷网关可以对网关内的流量进行分析与记录，其中「内容审计」功能可以记录通过该网关的邮件数据(包括发收件人、时间、标题、正文、附件等)、QQ/MSN上下线号码与时间、搜索引擎关键字、telnet发送的命令(包括认证密码等)。但邮件内容审计中「查看邮件内容」功能对HTML输出过滤不严导致跨站脚本攻击。

•复现

我们处于网关的内网中，用QQ邮箱往任意邮箱发这么一封邮件:

在网关管理后台可以看到，这封邮件很快就被记录了

点击「详细」查看邮件内容，即可触发XSS

我们试试在邮件中插入script标签加载外部JS以窃取cookie：

看上去锐捷有意把script标签被过滤了。但是能执行JS代码的标签可不止这一个，如果我们换成其他标签呢？

XSS收信平台成功收到了cookie:

拼接出外网管理地址 http://218.**.**.**:7080 利用XSS获取到的管理员cookie即可登录。

『问题2』管理员帐号密码存储在cookie中

•成因分析

路由器、交换机等等设备一般处于内网之中，所以厂商对web管理页面的认证往往是极其简单的。

案例参考：

http://wooyun.org/bugs/wooyun-2010-036133

http://wooyun.org/bugs/wooyun-2010-02268

http://wooyun.org/bugs/wooyun-2010-018029

•复现

XSS获取到的cookie如下

auth=YWRtaW46d2w2NTcwOQ%3D%3D; user=admin; c_name=; hardtype=EG1000S; web-coding=gb2312; currentURL=1.3

其中，auth字段是base64加密后URI编码的用户名与密码。解码如下:

YWRtaW46d2w2NTcwOQ%3D%3D ===URL解码===> YWRtaW46d2w2NtcwOQ== ===BASE64解码===> admin:wl65709

使用该帐号密码即可登录http://218.**.**.**:7080 管理后台。后台可以建立L2TP 限制关键词进行内网渗透。在测试中，我用wl65709这个密码登录了内网多台服务器的远程桌面。

『问题3』管理页面可留下较隐蔽的XSS后门实现永久控制

•成因分析

同问题2，大多数路由器、交换机等设备的web管理页面十分简陋，不对<>等敏感字符进行过滤的问题普遍存在。

•复现

在用户管理中添加如下组，组名分别为