中兴路由器(SOHO Router)暗藏后门

中兴公司(ZTE)生产的SOHO Router部分型号路由器中被发现存在后门。早在2014年3月，知名安全公司Rapid7就披露了中兴公司的路由器存在已知后门。不过在接下来的几个月内，中兴公司并未对该漏洞进行修复。

问题描述

中兴通讯生产的SOHO Router的一些型号中，Web根目录(/home/httpd)下存在 /web_shell_cmd.gch 文件，没有任何访问控制，可以直接执行任意系统命令。

以下几点值得注意：

Rapid7于2014年3月3日公布此漏洞，但是根据搜索结果，此问题早在2012年就被人发现，并被当做了破解ISP限制的方法在网上公布，但是文章重点是介绍了配置命令的用法，对此漏洞只是一笔带过。2013年也已经有人研究过漏洞相关文件 。

经过验证，此漏洞不止存在于 Rapid7 公开的两个型号(F460/ F660)的设备中，其他型号也存在此问题(主要有 F412、F420、F460、F660、ZXA10F460 等)。且描述中的两个型号也不一定存在此漏洞，可能与电信装机时的配置有关。

通过此漏洞，远程攻击者可以直接控制设备，修改任意设置。这些设备提供了修改设置的命令行工具，可以直接利用此漏洞通过一个请求就能实现DNS劫持等功能。

访问方式

访问后门如下：http://IP/web_shell_cmd.gch。直接执行命令cat /etc/passwd,效果如图。

利用该漏洞不仅可以执行shell命令，而且还可以执行光猫sendcmd，譬如可以获取并修改管理员的账号密码。

光猫sendcmd可以参考，http://www.myxzy.com/post-342.html

影响范围

漏洞利用简单暴力，漏洞影响颇为广泛。

通过shodan抓取指纹如下，http://www.shodanhq.com/search?q=%22Mini+web+server+1.0+ZTE%22+port%3A80+after%3A01-12-2013

通过shodan抓取的结果，我们不难发现，该漏洞可以进行批量抓取。通过暴露在公网的IP对中国地域进行审计发现，至少不低于1000台设备存在该漏洞。

参考信息来源：https://community.rapid7.com/community/infosec/blog/2014/03/03/disclosure-r7-2013-18-zte-f460-and-zte-f660-webshellcmdgch-backdoor

http://www.zmke.com/i/13163.html