# 浅谈路由CSRF危害，和非主流姿势

Author: 乌云历史资料库 (@wooyun_archive)
Published: 2013-10-31T04:13:00Z
Canonical: https://wepostx.com/topics/86

> 乌云历史资料归档
>
> **原始作者：** 黄小昏
> **原始编号：** superkieran-wooyundrops:105
> **原始发布时间：** 2013-10-31 12:13
> **声明：内容仅用于技术研究和个人使用，版权归 wooyun.org。**

---

## 0x00 环境分析

近期爆出的D-link的后门让大家人心惶惶。。还好我不用D-link，这样就完事了？用户有能力补上漏洞吗，厂商能及时通知用户防止中枪吗？很显然，谁都没有做到。
首先只要一公布xxx路由存在xxx漏洞，这就给自己的公司抹黑，首先用户不会升级(能正常上网谁这么无聊去更新路由器的固件，丁丁很大？)，又给公司添加了公关压力，这搁给谁谁都不会去做。
所以我们总结成几个点:
路由器出现漏洞后，用户不会补！厂商不想补！用户懒得补！

## 0x01 漏洞从哪里来

路由器的漏洞实在是很少。大部分都是远程命令执行和后门，xss等等，但是大牛们手中都是远程命令执行，基本覆盖X科，X为等机房常用的路油器，只需要执行几个poc，啪的一下，权限就到手了，这种场面只有在大牛的APT场面才能看到。
但是对于那些普通的屌丝黑阔来说，我对APT不感兴趣，我更喜欢那些妹子的路由器。
于是乎，黑阔到了电脑广场，来到路由器批发部，拿出50大洋给老板，告诉老板，我想试试你们热卖的路由器的性能。老板看在软妹币的面子上，拿了二十来款路由器给黑阔看，黑阔看到路由器就笑了，露出大金牙，操起几款wvs就是狂扫，然后按照型号仔细记录漏洞。
就这样，这个灰阔一天花了不到200软妹币，但是记录了国内主流路由器的各种臭虫(→*→，真是个淫荡的家伙)

## 0x02 邪恶力量的萌发

那个黑阔搞完扫描后，满足的关上笔记本，路由器老板还在心中暗爽，又赚了一个傻逼的钱。。。但他不知道这才是游戏的开始。
奔袭了一天，屌丝灰阔在路边的一个炒粉摊上坐了下来，看着周边搬砖的民工，心中总有一种亲切感，望着工头开着宝马远去的身影，黑阔决心继续努力，怒天一吼:老板，两份炒粉加肉！！！
吃饱了以后，灰阔去到一个桌游的店里，选了一个安静的角落，为神马去桌游。。。他告诉我，桌游75软妹币6个小时，饮料无限续杯，重要的是有20M的wifi，而且那些土豪都是陪妹子玩桌游，都木有人跟他抢网速，空气又比网吧好几十倍，撸代码没思路的时候还可以看看旁边的漂亮妹子(→*→，哎。我只想说，下次请带上我！！！)
黑阔打开电脑，又开始撸起拿油腻的键盘，打开几个wvs的报告，挑出其中的命令执行，csrf，xss，还有越权访问等漏洞进行分类，并标记是否可控，还把每个功能post,get的包进行整理。
就这样。。。一个通用的路由漏洞库就完成的差不多了。。。
黑阔这些漏洞放到了自己的xss的平台上，规划了几个规则。通过title来确定路由器的牌子，然后再对照型号。。。进行各种姿势的插，可控的CSRF就直接插到路由里，如果不可控就就用默认密码插进去，他告诉我...其实直接插进去的几率很小，但是通过默认密码的CSRF插进去的几率很大。。。(这里说明路由安全意识要提高，别以为你在内网就插不了。。。默认密码没改照样换个姿势插你)
针对路由器渗透有很多种的，但平常灰阔很关心的还是DMZ和DNS。
比如说一个通过CSRF让路由器的DMZ功能打开，把目标主机暴露于公网。。。。

## 0x03 开枪不仅仅只要子弹，还需要一把枪

上次去电脑广场花了百来大洋，让黑阔的生活有点吃紧，这几天吧他的xss平台搬到了日本一个比较高质量的vps...他怕后边扛不住大流量。。(哎，大牛果然有先见之明)
这周黑阔省吃俭用，不去吃炒粉了。每天几个大馒头送水，终于攒下了一笔钱，在美帝租了一台服务器，花了一个晚上把服务器装成了DNS服务器，黑阔露出他的大金牙，呵呵的睡着了。

## 0x04 黎明的前期永远是最寂静的

这几天黑阔开始玩倒时差，白天睡觉，晚上开始打游戏，或者出去和基友吃烧烤，把渗透时间都换到了晚上。
每天上网的时候，都去寻找大网站，寻找用户和网站可以交互和提交数据的地方，并记录下来。深夜的时候就开始各种bypass ,然后构造蠕虫，蠕虫里融入了黑阔的xss平台，在传播的时候不忘用力的给路由器来上一发！！！
深夜的时候，搞运维的还在梦乡，搞开发的程序猿还在妹子床上。。。所以黑阔弄好蠕虫后先不触发，等到用户上线率比较高时，(例如早上8点到10点半，11点半到中午1点，晚上8点到10点半)，就触发前几天找到的储存型的xss。
这几天的白天黑阔也没有停下来， 四处寻找各种广告，很多人质疑他没有能力找到这么多的流量。黑阔只是呵呵一笑，默默地把单子接下。

## 0x05 忽如一夜春风来，千树万树菊花开

黑阔为了保证自己测试的可效性，直接在午夜十二点就开始部署平台了，把xss平台上的规则换成全dns劫持，主要是可控的CSRF改路由器的DNS，不可控的直接用默认密码测试。。。不同的路由器的牌子和型号对应着不同的规则。

就这样，随着第一个看到蠕虫的人，转发了同域的蠕虫，然后感染的人呈几个倍数的增长，而中枪人的路由器都被黑阔改成了他在美帝租的那台DNS服务器上，服务器又指向广告地址。。。。

早上10点，看着广告的PV呈几何倍数增长，黑阔又露出了他的大金牙 :D
一个月后，黑阔开着他的超跑路过他曾经的工地，望着工头工友那熟悉的背影呵呵一笑拉风地开走了，因为黑阔的蠕虫不像白帽子装逼一样，一定要弹个窗口告诉别人我把你插了。而是在后台继续传播，这样管理员很难发现(有监控平台除外)。。。

## 0x06 总结

很多时候，路由器存在着大量的漏洞，特别是在已知目标设备下进行有计划的APT活动，例如已知目标主机是在内网，而且看见路由器是xx-link的牌子和型号，黑阔直接利用xss把路由器DMZ开启，目标主机就直接暴露在外网了。
这些说明了神马，我们列下几点:
1.买到的路由器一定要修改默认密码，还有默认的路由地址(比如192.168.1.1改成192.168.30.1)这样能很大程度防止CSRF。
2.不要浏览不良网站，即使浏览那也就算了，但一定要定期检查数据有没有被恶意修改，比如说xss蠕虫。
3.电信也为路由器做了一些拦截，只要是当电信用户的DNS指向国外服务器时，有些地区的电信就会弹窗提示dns被修改。。。这里说的只是一些地区，其他地方我不知道，网通和联通截止到写稿时貌似木有这种功能。
4.尽量少浏览那些OOXX的网站，你懂的，因为他们赚的不只是流量钱。。。尽管还是忍不住去看的话尽量不要用IE去看。。有条件就直接把动作片下载吧。或者在虚拟机里面看。
5.  准备双十一了，淘宝各种活动，装个杀软吧，估计黑阔们都在扩张服务器，还害怕流量过大。。。所以双十一附近要多加防范！！！
特此声明：此故事纯属虚构，请勿用于非法用途，所造成的后果与本文作者无关。大牛莫喷

## Replies