xenokovah/inteltxe-pocPreuve de concept JTAG Intel Management Engine - Instructions 2022
Toutes les informations sont fournies à des fins éducatives uniquement. Suivez ces instructions à vos propres risques. Ni les auteurs ni leur employeur ne sont responsables des dommages directs ou indirects ou des pertes résultant de toute personne ou organisation agissant ou s'abstenant d'agir sur la base des informations contenues dans cette page.
Introduction
Logiciels requis
Génération du payload
Génération du jeton de déverrouillage
Préparation de l'image SPI Flash
Intégration des fichiers dans l'image du firmware
Désactivation de la signature OEM
Construction de l'image du firmware
BringUP du processeur principal
Écriture de l'image sur la SPI Flash
Préparation du câble de débogage USB
Application des correctifs aux fichiers de configuration OpenIPC
Déchiffrement des fichiers de configuration OpenIPC
Ajout du cœur LMT à la configuration
Définition de la variable d'environnement IPC_PATH
Vérification initiale du fonctionnement du JTAG
Afficher le thread ME du processeur
Arrêt des cœurs
Débogage ME : démarrage rapide
Lecture de mémoire arbitraire
Lecture de la ROM
Pourquoi TXE ?
Liste des plateformes testées
Auteurs
Licence
La vulnérabilité INTEL-SA-00086 permet d'activer le JTAG pour le cœur de l'Intel Management Engine. Nous avons développé notre [preuve de concept JTAG][8] pour la plateforme Gigabyte Brix GP-BPCE-3350C. Bien que nous recommandions aux chercheurs potentiels d'utiliser la même plateforme, les plateformes d'autres fabricants équipées du chipset Intel Apollo Lake devraient également prendre en charge la preuve de concept (pour la version TXE 3.0.1.1107).
Étant donné que la Gigabyte Brix GP-BPCE-3350C n'est plus largement disponible dans le commerce, ces instructions ont été mises à jour pour cibler à la place l'AAEON UP Squared SKU UPS-APLX7-A20-0864 (Intel Atom® x7-E3950). Si vous achetez cette carte, assurez-vous également d'obtenir l'alimentation électrique, l'adaptateur série et un adaptateur USB-vers-série. De plus, l'UP Squared ne nécessite qu'un simple câble de débogage USB pour effectuer le débogage DCI. Le câble de débogage USB doit être connecté au port où le câble USB jaune est indiqué ici.
La vulnérabilité INTEL-SA-00086 implique un débordement de tampon lors du traitement d'un fichier stocké sur MFS (le [système de fichiers interne de ME][6]). Le chemin complet du fichier est /home/bup/ct. Vous devrez intégrer une version de ce fichier exploitant la vulnérabilité dans le firmware ME en utilisant Intel Flash Image Tool (FIT), l'un des outils système Intel fournis par Intel aux OEM de matériel basé sur les chipsets Intel PCH.
Les utilitaires des outils système Intel ME (TXE, SPS) ne sont pas destinés aux utilisateurs finaux—vous ne pouvez donc pas les trouver sur le site officiel d'Intel. Cependant, certains OEM les publient dans le cadre de mises à jour logicielles accompagnées de pilotes de périphériques. Ainsi, pour intégrer notre preuve de concept, vous avez besoin de "CSTXE System Tools v3", que vous pouvez trouver ici.
Vous devez installer Intel System Studio pour effectuer le débogage JTAG. Dans nos expériences initiales, nous avons utilisé Intel System Studio 2018. Ces instructions ont été mises à jour pour Intel System Studio 2020, qui peut être obtenu ici.
La preuve de concept cible la version 3.0.1.1107 du firmware Intel TXE. Le référentiel d'images "CSTXE 3.0" sur les forums Win-Raid contient la version nécessaire du firmware TXE.
Tous nos scripts sont écrits en Python. Nous recommandons d'utiliser Python 2.7 Les scripts nécessitent également le paquet pycrypto. Pour installer pycrypto, exécutez la commande suivante :``` pip install pycrypto
## Effectuer un débogage x86 de référence via DCI
Bien que l’objectif de ce guide soit de permettre le débogage JTAG dans le ME via un exploit, il est de bonne pratique de commencer par une vérification de cohérence et de vous assurer que vous pouvez effectuer un débogage JTAG normal de la carte UP Squared via DCI. AAEON n’expédie plus ses BIOS avec DCI activé, car la société a indiqué sur ses forums que cela entraînait des instabilités. (Et les versions plus anciennes du BIOS antérieures à la v5.0 qui avaient DCI activé ne fonctionneront plus avec le nouveau matériel, en raison d’un changement matériel du fournisseur de DRAM.) Par conséquent, pour activer le JTAG DCI sur l’UP Squared, vous devez effectuer 3 étapes :
1) Effectuez le patch binaire décrit par Satoshi Tanda [ici](https://forum.up-community.org/discussion/comment/12877#Comment_12877) (bien qu’il devrait être indiqué d’utiliser UEFITool 0.28 et non 2.8).
2) Activez DCI via le menu de configuration du BIOS en appuyant sur F7 au démarrage, en saisissant le mot de passe UP par défaut (*upassw0rd*), puis, depuis le menu principal, descendez jusqu’à « CRB Setup » -> « CSB Chipset » -> « South Cluster Configuration » -> « Miscellaneous Configuration » -> « DCI Enable (HDCIEN) » et réglez-le sur activé. Quittez ensuite le menu de configuration du BIOS, enregistrez la modification de configuration et redémarrez le système.
3) Ouvrez « C:\IntelSWTools\system_studio_2020\system_debugger_2020\target_indicator\bin\TargetIndicator.exe » et confirmez que lorsque vous avez ce système branché à l’UP Squared via le câble de débogage, un indicateur bleu s’affiche indiquant que DCI est possible, comme ci-dessous :
Vous pouvez ensuite lancer « :\Program Files (x86)\IntelSWTools\sw_dev_tools\system_debugger_2020\system_debug_legacy\xdb.bat », vous connecter à la cible, l’interrompre, puis exécuter pas à pas pour confirmer que vous disposez de capacités de débogage de base.