Qwen's blog

本文对DVRF路由器漏洞靶机中的一道题目（stack_bof_02）进行了复现，详细记录了复现过程中如何利用gadget片段来构造ROP链进行攻击。

该漏洞的起因是身份验证是否成功的标识（AUTHORIZED_GROUP）会被添加到 POST 报文数据的后面，而攻击者可以通过将AUTHORIZED_GROUP=1 作为 POST 报文数据的一部分来发送，当读取报文的时候只有报文中的第一个 = 被识别到继而将后面的AUTHORIZED_GROUP=1 一起读入并写入来绕过身份验证，造成登录信息的泄露。

前两次的漏洞复现都挺难挺费力的，这次来复现个简单点的：CVE-2017-17215 ，关于华为 HG532 路由器可能存在的远程代码执行。整个的复现过程还是比较顺利的，虽然也踩了不少坑，但解决的还都算快。

该漏洞的起因是upnp服务中的NewStatsURL和NewDownloadURL标签存在命令注入，故可以在端口37215上，向uri为/ctrlt/DeviceUpgrade_1的路径发送POST报文来触发漏洞进行命令执行。

这是我目前复现的第二个漏洞，也挺难的，我觉得比第一次复现的DIR-815那个更复杂一点，大概花了近一个月的时间,期间很多次因为不同问题或同一个问题停滞。虽然是复现完了，但其实我感觉自己还没有懂透，尤其是逆向分析这部分很少有分析过这么多且复杂的代码，思路也大都是跟着其他师傅文章里的分析往下走的，等多复现几个漏洞后再来看看吧。不过呢，对于这次长达一个月的漏洞复现，还是有不少收获的。

复现的第一个IOT漏洞，算是比较经典的了，网上也有挺多相关的文章。这个漏洞从我复现完到现在有一段时间了，前段时间一直在忙其他事，现在来大致整理一下复现的整个过程，也算是过一个流程吧。

花了几天的时间来学习MIPS，先从调试一段简单的代码开始，看看MIPS汇编指令是怎么进行一系列操作的，然后去了解各个指令的含义和寄存器的用途，遇到不易理解的就在gdb中调试一下，接着就是其函数调用约定及相关特性，最后是编写MIPS汇编的shellcode。学完这些紧接着就去复现漏洞了，也没好好总结一下，复现完漏洞后还是觉得要梳理一下MIPS的相关知识，想了想写篇文章总结是再好不过了，因此又花了不少时间写了下面这些内容。

什么是无回显RCE？

无回显RCE，简单来说就是没有任何回显，不管命令或代码是否执行成功。这样的命令执行函数有exec()、shell_exec()。

判断是否执行成功

1. 延时：

   阅读全文 »

这一篇的主要内容是php中的一些原生类的原理及其利用，目前只记录了Error(Exception类与其大致相同只是php版本不同)和SoapClient这两个原生类。

[TOC]

mt_srand()和mt_rand()

mt_srand()函数用于设置Mersenne Twister随机数生成器的种子值，mt_rand()函数会依据种子生成伪随机数。下面是一个示例：

mt_srand(0);
echo mt_rand().'   ';
echo mt_rand().'   ';
echo mt_rand().'   ';