SmmBackdoor

الباب الخلفي SMM للمنصات المبنية على UEFI

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

هذا مشروع قديم ومهجور، للنسخة الحالية من الباب الخلفي راجع صفحة مشروع SMM Backdoor Next Gen ووثائقه:

https://github.com/Cr4sh/SmmBackdoorNg

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

لمزيد من المعلومات حول هذا المشروع يرجى قراءة المقال التالي:

http://blog.cr4.sh/2015/07/building-reliable-smm-backdoor-for-uefi.html

محتويات المستودع:

• SmmBackdoor.py -- برنامج بايثون يتيح إصابة صورة PE لبرنامج تشغيل UEFI DXE بكود الباب الخلفي، والتواصل مع الباب الخلفي المثبت لقراءة SMRAM والقيام ببعض الأشياء المفيدة الأخرى.

• SmmBackdoor/ -- الكود المصدري لجزء UEFI الذي يعمل في وضع إدارة النظام (System Management Mode).

• SmmBackdoor.efi, SmmBackdoor.pdb -- ثنائي جزء UEFI ورموز التصحيح الخاصة به.

• smm_call/ -- برنامج لينكس لإثبات المفهوم يتفاعل مع الباب الخلفي المثبت للحصول على صلاحيات الجذر لعملية البرنامج.

لبناء مشروع SmmBackdoor تحتاج إلى جهاز يعمل بنظام ويندوز مع Visual Studio 2008 والكود المصدري لـ EDK2 (https://github.com/tianocore/edk2).

تعليمات خطوة بخطوة:

1. انسخ المجلد الفرعي SmmBackdoor إلى دليل الكود المصدري لـ EDK2.

2. عدّل ملف Conf/target.txt وعيّن قيمة خاصية ACTIVE_PLATFORM إلى OvmfPkg/OvmfPkgX64.dsc.

3. عدّل OvmfPkg/OvmfPkgX64.dsc وأضف الأسطر التالية في نهاية الملف:

#

# 3-rd party drivers
#
SmmBackdoor/SmmBackdoor.inf {
  <LibraryClasses>
    DebugLib|OvmfPkg/Library/PlatformDebugLibIoPort/PlatformDebugLibIoPort.inf
    MemoryAllocationLib|MdePkg/Library/UefiMemoryAllocationLib/UefiMemoryAllocationLib.inf
}

4. شغّل موجه أوامر Visual Studio 2008 وانتقل (cd) إلى دليل EDK2.

5. نفّذ Edk2Setup.bat --pull لتكوين بيئة البناء وتنزيل الملفات الثنائية المطلوبة.

6. cd SmmBackdoor && build

7. بعد اكتمال البناء، سيتم إنشاء ملف صورة PE الناتج في Build/OvmfX64/DEBUG_VS2008x86/X64/SmmBackdoor/SmmBackdoor/OUTPUT/SmmBackdoor.efi

لتشغيل SmmBackdoor.efi كحمولة مُعدية على سبيل المثال على اللوحة الأم Intel DQ77KB:

1. افرغ البرنامج الثابت (firmware) للوحة الأم باستخدام مبرمج SPI.

2. افتح صورة الفلاش المفرغة في UEFITool.

3. استخرج صورة PE لملف FFS ذو GUID = 26A2481E-4424-46A2-9943-CC4039EAD8F8 واحفظها في ملف extracted.bin.

4. أصِب الصورة المستخرجة بـ SmmBackdoor.efi باستخدام SmmBackdoor.py:

$ python SmmBackdoor.py --infect extracted.bin --output infected.bin --payload SmmBackdoor.efi

5. في UEFITool استبدل صورة PE الأصلية بـ infected.bin.

6. احفظ صورة الفلاش المعدلة في ملف واكتبها إلى ROM اللوحة الأم باستخدام المبرمج.

يمتلك الباب الخلفي أيضًا إمكانات إخراج تصحيحية تسمح برؤية رسائل التصحيح لمرحلة DXE على الشاشة واستقبال رسائل تصحيح مرحلة التشغيل عبر منفذ COM.

لاستخدام SmmBackdoor.py تحتاج إلى تثبيت مكتبة بايثون pefile (https://pypi.python.org/pypi/pefile) وإطار العمل CHIPSEC (https://github.com/chipsec/chipsec) بما في ذلك روابط بايثون (Python bindings).

الأوامر المدعومة:

• SmmBackdoor.py --infect <source_path> --output <dest_path> --payload <payload_path> - يُصيب صورة PE لبرنامج تشغيل DXE بكود الباب الخلفي المحدد.

• SmmBackdoor.py --test - يتحقق من وجود الباب الخلفي ويطبع معلومات الحالة من بنية BACKDOOR_INFO.

• SmmBackdoor.py --dump-smram - يفرغ جميع مناطق SMRAM المتاحة في ملفات.

• SmmBackdoor.py --read-phys

  - يطبع تفريغًا سداسيًا عشريًا لصفحة الذاكرة الفعلية عند العنوان المعطى.

• SmmBackdoor.py --read-virt

  - يطبع تفريغًا سداسيًا عشريًا لصفحة الذاكرة الافتراضية عند العنوان المعطى.

• SmmBackdoor.py --timer-enable - يفعل SMI المؤقت الدوري المطلوب لـ smm_call (مفعل افتراضيًا).

• SmmBackdoor.py --timer-disable - يعطل SMI المؤقت الدوري.

استخدام smm_call:

• smm_call [<arg_1> [<arg_2>]] - يرسل رمز التحكم المحدد والوسائط إلى الباب الخلفي SMM.

• smm_call --privesc - يطلب من الباب الخلفي منح صلاحيات الجذر لعملية الاستدعاء وتشغيل شل أوامر.