Belkin SURF路由器安全漏洞研究教学文档

1. 漏洞概述

本文档详细分析Belkin SURF N300/N150系列路由器中发现的多个安全漏洞，这些漏洞主要影响Belkin SuperTask! RTOS系统，特别是UPnP功能。

受影响设备

• Belkin N150 (型号F9K1001)
• Belkin N300 (型号F9K1002)
• Belkin N300 (型号F7D2301v1)

2. 主要漏洞分类

2.1 UPnP服务漏洞

漏洞类型

• 多个基于堆栈的缓冲区溢出漏洞
• 影响SOAP操作：AddPortMapping、GetSpecificPortMappingEntry和DeletePortMapping

技术细节

• 使用不安全的strcpy()函数复制用户控制数据
• 无边界检查导致缓冲区溢出
• 影响UPnP WANPPPConnection:1Service
• 共发现13个类似错误

示例漏洞分析

• AddPortMapping操作中的NewRemoteHost参数溢出

  • 固定大小堆栈缓冲区(0x20字节)
  • 攻击者控制的数据被盲目复制
  • 可覆盖函数返回地址(如0x41414141)

• 漏洞利用特征

  • 无ASLR(地址空间布局随机化)
  • 无堆栈canary保护
  • 利用简便，可直接覆盖程序计数器

2.2 后门账户漏洞

发现的硬编码账户

1. engineer
2. wlan_config
3. wlan_power

风险

• 不暴露在Web界面
• 用户无法删除或修改
• 可绕过认证获取特权访问

2.3 upgrade.exe CGI脚本漏洞

技术细节

• 特权CGI脚本中的缓冲区溢出
• 使用strcpy()复制多部分HTTP POST请求边界标头
• 目标：全局变量(地址0x802965CA)

2.4 DNS代理漏洞

技术细节

• 处理特制DNS数据包时的堆栈缓冲区溢出
• 使用memcpy()复制到80字节的堆栈缓冲区
• 大小不匹配导致溢出
• 可覆盖程序计数器(如0x42424242)

3. 漏洞利用分析

3.1 UPnP漏洞利用步骤

1. 构造恶意SOAP请求
2. 控制NewRemoteHost等参数
3. 通过strcpy()触发缓冲区溢出
4. 覆盖返回地址
5. 控制程序执行流

3.2 后门账户利用

1. 使用后门凭证发送认证请求
2. 攻击者IP被标记为"已登录"
3. 访问特权页面
4. 利用其他认证后漏洞

3.3 DNS漏洞利用

1. 构造特制DNS数据包
2. 触发memcpy()溢出
3. 控制程序计数器

4. 漏洞代码分析

4.1 UPnP漏洞代码片段

0x80178C90: 固定大小堆栈缓冲区指针 -> $a0
0x80178C98: 攻击者控制缓冲区指针 -> $a1
jal strcpy

4.2 DNS漏洞代码片段

0x80119D48: 计算memcpy()字节数(通过指针减法)
结果值 > 目标缓冲区大小 -> 溢出

5. 安全建议

1. 立即措施

   • 禁用UPnP功能(FBI建议)
   • 更换受支持的路由器设备

2. 长期措施

   • 实施安全软件开发周期
   • 使用安全函数替代strcpy/memcpy
   • 启用ASLR和堆栈保护
   • 移除硬编码凭证

3. 开发建议

   • 输入验证和边界检查
   • 使用安全字符串函数
   • 定期安全审计

6. 结论

Belkin SURF路由器系列存在严重安全缺陷，反映出产品开发中缺乏安全实践。由于厂商已停止支持，建议用户更换设备。这些漏洞展示了物联网设备中常见的安全问题，对IoT安全开发具有重要警示意义。