解压后得到一个bix文件,binwalk分析
看到有squashfs文件系统,直接导出
根据公告
根据描述,应该与web服务有关
在bin下找到一个webs程序
ida分析
根据提示,直接在stirng window搜索关键字
交叉引用
来到了alpha_auth_check
0xB8($S0)使用strstr来看字符中是否有 graphic/、 public/ 子串
0xC($S0)与0xE0($S0)代码进行check_logined操作 很可能是用户名和密码或是cookie,session等
看到这个字符串和$s0+0xd0处内容当strcmp匹配成功,则会v1=1,转入loc_423edc
Loc_423edc
可以在这里看到,$v1赋值给$v0,而$v1为之前匹配成功赋的1,$v0为函数返回值,即匹配成功后返回1,那么也就是说strcmp比较成功后就可以直接放回校验成功的结果
从xrfs to可知
httpd_parse_request->alpha_httpd_parse_request->alpha_upload->alpha_auth_check
之前看到有一个0xd0的偏移
serach->immediate
找到了一处于http_parse_request相关的
双击
根据调用关系,可以看到传入的参数为user-agent
那也就明确了:
通过比较user-agent的值与后门,如果通过比较,则可以绕过输入密码等步骤直接来到管理界面
验证的话可以去shodan找一个
然后改user-agent即可