h3xdum/xiaomi-c200-firmware-analysisDa UART a Root: Irtrompersi nel Xiaomi C200 via U-Boot
In questo repo mostrerò come ho ottenuto l'accesso all'interfaccia UART anche senza il comune set di pin / test pad esposti, utilizzando U-Boot e trucchi per ottenere i permessi di root in una fase iniziale e infine estrarre il firmware
Ci sono alcune cose chiave chiare dal PCB
Per prima cosa sono andato verso i candidati ovvi per un accesso UART diretto, ci sono 4 test pad in fila che sembrano essere Tx Rx Ground e alimentazione, ma testandoli con un multimetro ho ottenuto letture errate come si vede nella foto. Ho provato la maggior parte degli altri test pad e ancora non riuscivo a trovare la lettura corretta, quindi ho dovuto cambiare strategia
Dal momento che non ci sono connettori rimasti sulla scheda né test pad che possano aiutare, ho deciso di andare alla fonte, collegandomi ai pin del processore e ottenendo una shell UART in questo modo. Ho recuperato il datasheet di quel processore e identificato i pin del protocollo UART
Ora dobbiamo solo trovare la massa sulla scheda e collegare
Ho utilizzato alcune sonde PCBite e un adattatore USB 2 TTL per questa configurazione
Ora possiamo usare picocom per ottenere la shell UART che cerchiamo
sudo picocom -b 115200 /dev/ttyUSB0
Se non si fa nulla, ottengo solo i log di avvio e nessuna shell alla fine del processo di boot, quindi ho dovuto interrompere U-Boot premendo immediatamente invio. Quando ottengo una shell U-Boot, per prima cosa ho stampato gli argomenti dell'ambiente
Le cose importanti per noi sono
Per ottenere un accesso root rapido posso usare il trucco di cambiare il comando init con setenv in modo da ottenere una shell invece di eseguire il binario linuxrc, quindi posso caricare manualmente la memoria e avviare il dispositivo (essenzialmente copiando il comando bootcmd)
Ora quando l'avvio sarà completato, verrò rilasciato in una shell iniziale con praticamente nulla in esecuzione sul sistema, quindi eseguirò il binario originale linuxrc in background e controllerò eventuali porte aperte su questo sistema
Nessuna fortuna! La telecamera comunica solo con il suo cloud su " 47.237.75.249 ", nessuna interfaccia web esposta con cui giocare.
Dato che il reverse engineering del binario di comunicazione cloud è fuori dall'ambito della mia ricerca, ho deciso di concludere qui la mia ricerca :)
Un piccolo extra per chiunque sia interessato a giocare con il firmware, ecco come ottenerlo.
Stessa configurazione di prima con UART ma questa volta solo sondaggio e caricamento della memoria dalla flash nella RAM senza avviarla. Poi si possono stampare i dati dalla memoria RAM e registrare l'output del terminale (con minicom questa volta) per salvarlo in un file, pulirlo un po' con Python e ottenere il firmware, abbinando binwalk e bootargs aiuta a nominare ogni sezione.
