水木社区手机版
- 主题:美国路由器操作语言设为简体中文时有高危漏洞 (转载)
- 【 以下文字转载自 Picture 讨论区 】
发信人: pear2015 (GIL), 信区: Picture
标 题: 美国路由器操作语言设为简体中文时有高危漏洞
发信站: 水木社区 (Tue Aug 17 12:34:14 2021), 站内
Netgear公司的
--
FROM 101.6.54.* - 触发漏洞的条件：
1 开放公网管理
2 有管理密码
你品，你细品
【 在 quany (Quany兽医生) 的大作中提到: 】
: 标 题: 美国路由器操作语言设为简体中文时有高危漏洞
: 发信站: 水木社区 (Wed Aug 18 13:21:11 2021), 站内
:
: 【 以下文字转载自 Picture 讨论区 】
: 发信人: pear2015 (GIL), 信区: Picture
: 标 题: 美国路由器操作语言设为简体中文时有高危漏洞
: 发信站: 水木社区 (Tue Aug 17 12:34:14 2021), 站内
:
:
: Netgear公司的
:
: --
:
: ※ 来源:·水木社区 http://www.mysmth.net·[FROM: 101.6.54.*]
:
:
--
FROM 183.242.55.* - 【 在 ygs (有娃的阿桂) 的大作中提到: 】
: 触发漏洞的条件：
: 1 开放公网管理
这个不是触法漏洞的条件，而是workaround的方法
https://www.cnvd.org.cn/flaw/show/CNVD-2021-61051
: 2 有管理密码
: ...................
--
FROM 112.224.65.* - r7000幸免于难
--
FROM 223.71.99.* - 有漏洞，得到批露和修复是好事。
不过危害性非常一般，家用路由的管理页面注入的漏洞不要太多。能利用的是内网已经
验证过路由管理密码的用户，也就是这些设备的管理员。没看出跟简体中文有什么相关
。
n多路由都有类似漏洞，用注入来开shell刷机。比如小米stok.
【 在 quany (Quany兽医生) 的大作中提到: 】
: 【 以下文字转载自 Picture 讨论区 】
: 发信人: pear2015 (GIL), 信区: Picture
: 标 题: 美国路由器操作语言设为简体中文时有高危漏洞
: ...................
--
FROM 119.129.51.* - 理论上来说都先过鉴权
该漏洞源于用户输入构造命令、数据结构或记录的操作过程中，网络系统或产品缺乏对用户输入数据的正确验证，未过滤或未正确过滤掉其中的特殊元素，导致系统或产品产生解析或解释方式错误。目前没有详细的漏洞细节提供。
第二点管理密码才是最重要的。
【 在 iwannabe (I wanna be) 的大作中提到: 】
: 标 题: Re: 美国路由器操作语言设为简体中文时有高危漏洞 (转载)
: 发信站: 水木社区 (Wed Aug 18 14:46:17 2021), 站内
:
:
: 【 在 ygs (有娃的阿桂) 的大作中提到: 】
: : 触发漏洞的条件：
: : 1 开放公网管理
: 这个不是触法漏洞的条件，而是workaround的方法
:
: https://www.cnvd.org.cn/flaw/show/CNVD-2021-61051
:
: : 2 有管理密码
: : ...................
:
: --
:
: ※ 来源:·水木社区 mysmth.net·[FROM: 112.224.65.*]
--
FROM 124.126.140.* - 任意命令执行是十分常见的漏洞。小米的路由器可以通过这种方式拿到shell。小米的网关可以通过这种方式开启telnet。
千万不要以为管理密码能够挡住攻击者。几年前一个大漏洞：搜狗输入法的安装目录的权限被误设置为所有人可修改（正常应当只允许管理员输入密码后修改），没有管理权限的攻击者可以将搜狗输入法的更新程序替换为自己的任意程序，当管理员正常登陆时，若搜狗输入法的自动更新启动，该替换后的程序就能执行并获得管理员权限，从而实现任意代码执行。
--
FROM 111.201.154.* - 你这是至少有shell权限了
【 在 xvy (xvy) 的大作中提到: 】
: 标 题: Re: 美国路由器操作语言设为简体中文时有高危漏洞 (转载)
: 发信站: 水木社区 (Wed Aug 18 17:15:30 2021), 站内
:
: 任意命令执行是十分常见的漏洞。小米的路由器可以通过这种方式拿到shell。小米的网关可以通过这种方式开启telnet。
:
: 千万不要以为管理密码能够挡住攻击者。几年前一个大漏洞：搜狗输入法的安装目录的权限被误设置为所有人可修改（正常应当只允许管理员输入密码后修改），没有管理权限的攻击者可以将搜狗输入法的更新程序替换为自己的任意程序，当管理员正常登陆时，若搜狗输入法的自动更新启动，该替换后的程序就能执行并获得管理员权限，从而实现任意代码执行。
: --
:
: ※ 来源:·水木社区 http://www.mysmth.net·[FROM: 111.201.154.*]
--
FROM 183.242.55.* - 用户不需要具有shell权限。例如，小米的网关有一个api，******，用户（或攻击者）可以构造请求，若输入任意内容然后加一个分号，分号后的内容会作为shell命令执行。这个漏洞还没修复，就先不说细节了。
【 在 ygs 的大作中提到: 】
: 你这是至少有shell权限了
:
:
--
FROM 111.201.154.* - 这是漏洞还是后门，为什么只有简体中文才有问题
【 在 quany 的大作中提到: 】
: 发信人: pear2015 (GIL), 信区: Picture
: 标 题: 美国路由器操作语言设为简体中文时有高危漏洞
: 发信站: 水木社区 (Tue Aug 17 12:34:14 2021), 站内
: ...................
--
FROM 112.97.61.*