IoT on F145H 的博客

GDBfuzz: Fuzzing Embedded Systems using Debug Interfaces

Thu, 25 Sep 2025 00:00:00 +0800

前记：在对 DIR-816路由器的漏洞 CVE-2025-5623 的复现过程中，发现这是一个典型的内存溢出漏洞，利用该漏洞可以控制路由器的内存，从而实现对路由器的控制。为了进一步研究该漏洞和学习相关fuzz工具，模拟漏洞发现过程，我们使用了 GDBfuzz 这个工具来对路由器进行 fuzzing 测试。

相关论文在 docs/Fuzzing Embedded Systems using Debug Interfaces.pdf

GDBfuzz 的安装和测试

首先，从最基础的安装和使用学习 gdbfuzz 这个工具。

git clone https://github.com/F145H-F145H/gdbfuzz
cd gdbfuzz

根据 README.md 文档，我们最好使用一个独立的 python 环境，且最好是 3.10 版本，笔者在 python3.13 环境下安装依赖时遇到了错误。在 make 的过程中，如果遇到错误或网络问题等，可以根据 Makefile 文件手动解决问题。

conda create -n python310 python=3.10
conda activate python310 
# 这里我使用 miniconda 管理python版本，可以在这里进行安装： 
# https://www.anaconda.com/docs/getting-started/miniconda/install#linux-2

python3 -m venv .venv
source .vnev/bin/activate # 使用本地虚拟环境

make
chmod a+x ./src/GDBFuzz/main.py

安装完成后，我们可以由简到繁地进行测试。首先，我们打开./为了进一步观察 fuzz 过程，我们使用 Ghidra 打开测试程序，使用 Script Manager，搜索 bridge 关键字，找到 ghidra_bridge_port.py 设置端，然后运行 ghidra_bridge_server_background.py，注意 .cfg 文件的端口需要和这里保持一致。

DIR816路由器栈溢出复现和深入探索

Fri, 29 Aug 2025 00:00:00 +0800

路由器漏洞分析

在官网下载对应版本固件

https://www.dlink.com.cn/techsupport/ProductInfo.aspx?m=DIR-816

固件： DIR-816A2_FWv1.10CNB05_R1B011D88210.img

使用 binwalk 查看信息，没有加密，因此直接进行解包，提取出系统进行分析。

binwalk -Me DIR-816A2_FWv1.10CNB05_R1B011D88210.img
find ./ -iname 'busybox'
cp -r ./extractions/DIR-816A2_FWv1.10CNB05_R1B011D88210.img.extracted/0/Linux_Kernel_Image.bin.extracted/1822EE/squashfs-root/ .

这个漏洞存在于 /bin/goahead 程序中 isIpNetmaskValid 函数中，由于主调函数的 sip_address 和 dip_address 参数可控，在其后传参并调用的此函数中，直接对字符串进行了写入操作，无论传入参数的长度如何，都会被复制到 local_30 缓冲区中，存在漏洞调用路径的入口函数有三个 FUN_0044ab48 FUN_0044dde8 和 FUN_0046bb80，在这里我使用了 FUN_0046bb80 进行漏洞复现。

( FUN_0046bb80 中，关于 sip_address 和 dip_address 的获取。 )

LD_PRELOAD

Sun, 10 Aug 2025 00:00:00 +0800

模拟固件下的 patch 和 hook

LD_PRELOAD

LD_PRELOAD 是 Linux 系统中的一个环境变量，它可以影响程序的运行时的链接（Runtime linker），它允许你定义在程序运行前优先加载的动态链接库。

当程序调用一个动态链接库中的函数（如 printf, open, malloc）时，动态链接器负责在已加载的共享库中找到该函数（符号）的实际地址，动态链接器按照特定的顺序搜索共享库来解析符号。LD_PRELOAD 赋予指定的库最高的搜索优先级。

这意味着：如果一个函数（例如 open）在 LD_PRELOAD 指定的库 A 中被定义，同时也在标准库 B（如 libc.so.6）中被定义，那么链接器会优先找到并使用库 A 中的 open 函数，而完全忽略库 B 中的原始 open 函数。

示例如下：图中虚线表示动态链接过程，实线表示函数调用流程。预加载库通过拦截-转发机制实现了对系统调用的透明监控。

sequenceDiagram
 box 无 LD_PRELOAD（普通模式）
 participant Program as 程序
 participant LibC as 标准库
 end
 
 box 有 LD_PRELOAD（拦截模式）
 participant ProgramX as 程序
 participant Preload as 预加载库
 participant LibCX as 标准库
 end
 
 Note left of Program: 普通执行<br/>./openfd
 Program->>LibC: 调用 open("test.txt")
 LibC-->>Program: 返回文件描述符 (fd)
 
 Note right of ProgramX: 拦截执行<br/>LD_PRELOAD=./libpreload.so ./openfd
 ProgramX->>Preload: 调用 open("test.txt")
 Note over Preload: ✋ 拦截 open 调用!<br/>🔍 访问文件: test.txt
 Preload->>LibCX: 调用原始 open()
 LibCX-->>Preload: 返回文件描述符 (fd)
 Note over Preload: ✅ 返回文件描述符: fd
 Preload-->>ProgramX: 返回文件描述符 (fd)

示例 2-1 openfd.c

利用binfmt_misc机制加快CGI调试

Sun, 10 Aug 2025 00:00:00 +0800

学习参考文章奇安信天工实验室利用binfmt_misc机制加快CGI调试姚红 binfmt_misc binfmt_misc Wikipedia

binfmt_misc 是 Linux 内核的一项功能，其使得内核可识别任意类型的可执行文件格式并传递至特定的用户空间应用程序，如模拟器和虚拟机，它是内核中准备用户空间程序运行的诸多二进制格式文件处理程序之一。例如，可以用它来自动运行 Java 或 Python 脚本，或在 x86_64 系统上运行 ARM 二进制文件等。这里，我们可以通过 binfmt_misc 这项功能来简化和加速跨平台文件的调试过程。

在许多文章中提到使用 binfmt_misc 往往需要先将其挂载，但是在笔者的系统上（Ubuntu 24.04）已经不再需要手动进行挂载。所以高版本的系统大多可以跳过挂载这个阶段，这一点可以通过命令得到确认，或者是直接运行一个 python 脚本。

mount | grep binfmt_misc
./test.py

在 Linux 系统中，直接“执行” Python 脚本时，binfmt_misc 机制会自动调用 python3 test.py 来运行脚本。其原理是通过 binfmt_misc 机制将以特定格式（如以 #! 开头的脚本文件）自动关联到相应的解释器（如 Python 解释器），从而实现无需手动指定解释器即可直接运行脚本文件。

Cisco RV160W 固件模拟

Wed, 06 Aug 2025 00:00:00 +0800

本次进行的固件模拟，依旧是基于 Cyberangel 师傅的博客进行学习。指北： Cyberangle 公开知识库

先对获得的固件进行解压、打包备用。

固件： RV16X_26X-v1.0.01.01-2020-08-17-11-09-01-AM.img

设置网桥、启动虚拟机，给出代码和截图。

# 创建网桥
sudo brctl addbr ms_br # 创建一个名为`ms_br`的网桥设备
sudo ip link set ms_br up # （启动）刚刚创建的网桥`ms_br`，使其处于活动状态
sudo ip addr add 192.168.10.1/24 dev ms_br # 给网桥`ms_br`分配一个IP地址`192.168.10.1`

# 创建并连接TAP设备
sudo ip tuntap add dev ms_tap mode tap # 创建一个TAP设备，命名为`ms_tap`
sudo brctl addif ms_br ms_tap # 将TAP设备`ms_tap`添加到网桥`ms_br`中
sudo ip link set ms_tap up # 启用TAP设备`ms_tap`
sudo ip addr add 192.168.10.10/24 dev ms_tap # 给`my_tap`分配一个IP地址`192.168.10.10`

开启虚拟机：

Cisco RV340利用链研究

Wed, 06 Aug 2025 00:00:00 +0800

作为初次接触IoT漏洞研究的探索，本文基于多篇优秀技术文章完成环境搭建和漏洞复现，主要参考：

Cyberangel 师傅的语雀文章 Cisco RV340利用链研究

盛邦安全的知乎文章 Cisco RV340命令执行漏洞（CVE-2022-20707）及关联历史漏洞分析

就叫16385吧的奇安信攻防社区文章 pwn2own2021中的Cisco路由器

Swing 的博客 Pwning a Cisco RV340 漏洞分析（CVE-2022-20705 和 CVE-2022-20707

lone_legend 的博客园文章配置 QEMU Ubuntu 虚拟机通过网桥连接外网

注意：笔者不再使用这篇博客的环境，不建议使用这篇博客进行环境安装的参考。

基础环境的安装和测试

环境准备

MIPS交叉编译工具链搭建及其32位指令集。

# qemu 安装
sudo apt install qemu qemu-user qemu-user-static qemu-system binfmt-support

# 虚拟网络工具包
sudo apt install uml-utilities bridge-utils

# 安装 mips 交叉编译环境
sudo apt install gcc-mips-linux-gnu
sudo apt install gcc-mipsel-linux-gnu
sudo apt install gcc-mips64-linux-gnuabi64
sudo apt install gcc-mips64el-linux-gnuabi64

# 多架构调试依赖
sudo apt install gdb-multiarch

习惯使用 conda 进行环境管理，创建一个专门用来进行 IoT 操作的 conda 环境（主要管理 python包 等），此步骤可以省略。