watchtowrlabs/ivantiinitrddecryptorUno strumento per decrittare le immagini initrd dei dispositivi Ivanti tramite reverse engineering del bzImage del kernel, al fine di individuare e utilizzare la chiave AES incorporata.
Ecco uno strumento rapido e sporco per decrittare l'initrd del dispositivo Ivanti. È per lo più accademico, dato che ci sono altri modi per estrarre le chiavi LVM (molto più utili) per il vero dispositivo root.
Per usarlo, copia il file kernel dal dispositivo Ivanti ed estrai l'ELF dal bzImage (io ho usato binwalk -e). Caricalo in IDA e cerca la funzione che fa riferimento alle stringhe "/initrd.image" e anche "vaes". La chiave AES dell'initrd sarà lì. Aggiungi questa chiave allo script, fornisci il tuo initrd e otterrai un gz.
Nota che ho avuto problemi nell'estrarre il kernel gzip - alla fine ho usato 7zip, che è stato molto più tollerante (di gz).
