D-Link DCS-932L 固件栈溢出漏洞分析与复现

3.2 配置加载与进程启动

错误原因是 nvram_bufget 无法获取 IPAddress 信息。Shambles 的模拟环境支持从配置文件初始化设备参数配置。全局搜索 IPAddress 关键字，排除可执行文件、sh 文件及 cgi 文件后，锁定 RT2860_default_vlan 为设备参数配置文件。

Shambles 的模拟环境在 /shambles 目录下预置了 libnvram.so，可以从配置文件加载设备参数信息。将 RT2860_default_vlan 拷贝到 libnvram.so 所在目录，重命名为 nvram.ini。运行时需要预加载 libnvram.so，输入命令：

LD_PRELOAD=/shambles/libnvram.so /bin/alphapd

运行结果显示 alphapd 成功启动，并输出了 IP 地址等配置信息。一般 alphapd 默认的 Web 服务端口是 80，设置端口转发访问 http://127.0.0.1:80，浏览器界面显示正常，默认 admin 密码为空，证明 Web 服务正常运行。

4. CVE 重现

4.1 请求验证

结合静态分析结论，首先验证 alphapd 是否可以响应针对 wireless.htm 的请求。在电脑本机命令行输入：

curl http://127.0.0.1/wireless.htm?WEPEncryption=FEWFEW

返回信息正常，说明 alphapd 响应带有 WEPEncryption 参数的请求。

4.2 断点调试与溢出验证

以调试模式启动 alphapd。在 Shambles Desktop 的 alphapd 反编译界面点击调试配置，把 libnvram.so 配置为预加载库。启动调试，事件日志窗口返回的日志与文件系统终端运行一致。

在 sub_43b7c0 函数 return 处打断点（断点 2），该位置对应 jr 指令，会将 ra 寄存器中的值拷贝到 pc 寄存器。ra 存储的是 strcpy 调用函数 sub_43b7c0 执行完成后的跳转地址。

测试 1： 发送正常长度的 WEPEncryption 参数请求。调试进程停在断点 1 和断点 2，执行完成后，pc 寄存器内容为正常的指令地址，网络请求正常返回。

测试 2： 发送超长参数的 WEPEncryption 请求。调试进程同样停在断点 1 和断点 2，但执行完成后，pc 寄存器内容被修改为某个内存地址，而非正常的指令地址。此时继续执行，alphapd 崩溃，说明栈已被破坏。

两次测试结果对比说明，发送带有 WEPEncryption 参数的网络请求会执行 strcpy，该函数将用户输入变量拷贝到栈内存。攻击者通过构造超长参数，可以修改 pc 寄存器内容，使其指向任意指令地址，从而执行任意命令攻击。

至此，CVE-2019-10999 在 Shambles 平台上重现完成。

5. 漏洞影响与修复建议

5.1 潜在影响

该漏洞属于远程代码执行（RCE）类漏洞。一旦攻击者利用成功，可以在未授权的情况下获得设备的最高权限。对于摄像头等 IoT 设备，这意味着攻击者可以窃取视频流、篡改设备配置，甚至将其纳入僵尸网络发起更大规模的攻击。

5.2 修复方案

1. 输入验证：在接收用户输入前，严格校验参数长度。确保 WEPEncryption 的长度不超过缓冲区定义的大小。
2. 使用安全函数：避免使用 strcpy 等不安全的字符串处理函数，改用 strncpy 或 snprintf 等带长度限制的函数。
3. 开启保护机制：在编译固件时开启 ASLR（地址空间布局随机化）、DEP（数据执行保护）等安全特性，增加攻击难度。
4. 最小权限原则：Web 服务进程应以最低权限运行，即使被攻破也能限制其危害范围。

6. 总结

本文详细分析了 D-Link DCS-932L 设备的 CVE-2019-10999 漏洞。通过静态分析定位到 strcpy 函数调用点，利用 Shambles Desktop 搭建仿真环境进行动态调试，成功复现了栈溢出过程。该案例展示了嵌入式固件开发中常见的字符串处理安全隐患。安全开发人员应重视输入数据的合法性校验，采用更安全的编程实践，以防止类似漏洞的产生。