donfanning/mips-cve-2014-9222Давайте повеселимся, копаясь в прошивке маршрутизатора Zyxel и MIPS Arch
Учебные материалы предназначены только для информационных и образовательных целей. Я считаю, что этичный хакинг, информационная безопасность и кибербезопасность должны быть знакомы каждому, кто использует цифровую информацию и компьютеры. Я считаю, что невозможно защититься от хакеров, не зная, как осуществляется взлом.
$ IDA Pro +7.0 (можно использовать Radar2, так как IDA довольно дорогая)
$ Маршрутизатор на базе Rompager 4.07: их огромное количество, например TP-Link TD-W8951*, ZyXEL P-660R, Billion BiPAC 51**/52**
$ UART-USB переходник
Уязвимость «Misfortune Cookie» существует уже некоторое время, но до сих пор не хватает публичного анализа, демонстрирующего технические детали уязвимости. Согласно Check Point, уязвимым программным обеспечением является встроенный веб-сервер RomPager от AllegroSoft. Сканирование в масштабах Интернета показывает, что RomPager, вероятно, является самым популярным веб-серверным ПО в мире по количеству доступных конечных точек. RomPager обычно встраивается в прошивку, поставляемую с устройством. Эта конкретная уязвимость была внесена в кодовую базу в 2002 году. Более того, уязвимы устройства, использующие службы RomPager версий до 4.34 (и в частности версии 4.07).
Для этого руководства я буду использовать ZXHN H108L с Rompager 4.07.
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Basic realm="ZXHN H108L"
Content-Type: text/html
Transfer-Encoding: chunked
Server: RomPager/4.07 UPnP/1.0
EXT:
Теперь воспользуемся последовательным портом; сначала нужно определить скорость передачи (Baud rate):
$ sudo stty -F /dev/ttyUSB0
ВЫВОД :
speed 115200 baud; line = 0;
-brkint -imaxbel
device
Я использую minicom, вы можете использовать что угодно от screen до HyperTerminal, но я предпочитаю этот из-за её стабильности ;)
$ sudo minicom -s
+-----------------------------------------------------------------------+
| A - Serial Device : /dev/modem |
| B - Lockfile Location : /var/lock |
| C - Callin Program : |
| D - Callout Program : |
| E - Bps/Par/Bits : 115200 8N1 |
| F - Hardware Flow Control : No |
| G - Software Flow Control : No |
| |
| Change which setting? |
+-----------------------------------------------------------------------+
| Screen and keyboard |
| Save setup as dfl |
| Save setup as.. |
| Exit |
| Exit from Minicom |
+--------------------------+
Теперь всё готово:
$ sudo minicom -D /dev/ttyUSB0 -b 115200
Bootbase Version: VTC_SPI1.26 | 2012/12/26 16:00:00
RAM: Size = 8192 Kbytes
Found SPI Flash 2MiB GD25Q16 at 0xbfc00000
SPI Flash Quad Enable
Turn off Quad Mode
RAS Version: ZXHN H108LV4.0.0a_ZRQ_MA
System ID: $2.12.162.0(G94.BY.2)3.20.19.0| 2014/03/21 20140321_v006 | 2014
Press any key to enter debug mode within 3 seconds.
..........
Чтобы показать возможные команды:
$ ATHE
======= Debug Command Listing =======
AT just answer OK
ATHE print help
ATBAx change baudrate. 1:38.4k, 2:19.2k, 3:9.6k 4:57.6k 5:115.2k
ATENx,(y) set BootExtension Debug Flag (y=password)
ATSE show the seed of password generator
ATTI(h,m,s) change system time to hour:min:sec or show current time
ATDA(y,m,d) change system date to year/month/day or show current date
ATDS dump RAS stack
ATDT dump Boot Module Common Area
ATDUx,y dump memory contents from address x for length y
ATRBx display the 8-bit value of address x
ATRWx display the 16-bit value of address x
ATRLx display the 32-bit value of address x
ATGO(x) run program at addr x or boot router
ATGR boot router
ATGT run Hardware Test Program
ATRTw,x,y(,z) RAM test level w, from address x to y (z iterations)
ATSH dump manufacturer related data in ROM
ATDOx,y download from address x for length y to PC via XMODEM
ATTD download router configuration to PC via XMODEM
ATUR upload router firmware to flash ROM
< press any key to continue >
Эта прошивка содержит набор скрытых команд, которые очень полезны для нашего динамического анализа. Проблема в том, что мы не можем видеть регистры или устанавливать точки останова, но, к счастью, с помощью этих скрытых команд у нас будут такие возможности. Чтобы увидеть и использовать их, нам нужно использовать ATEN. Однако эта команда требует пароль. Что же делать? Давайте реверсим прошивку, чтобы найти алгоритм генератора паролей.
(Статический анализ) Сначала посмотрим на файл прошивки:
$ binwalk ras
binwalk1
$ dd if=ras of=rom1.lzma bs=1 skip=85043 count=66696
$ dd if=ras of=rom2.lzma bs=1 skip=350259 count=3350556
$ lzma -d <rom1.lzma> rom1
$ lzma -d <rom2.lzma> rom2
Теперь посмотрим на сигнатуры в извлечённых файлах:
$ binwalk -Y rom1
DECIMAL HEXADECIMAL DESCRIPTION
--------------------------------------------------------------------------------
0 0x0 MIPS executable code, 32/64-bit, big endian, at least 1250 valid instructions
string — отличный инструмент, чтобы получить представление о том, чем является бинарный файл или что он содержит. Посмотрим, сможем ли мы найти алгоритм пароля:
$ strings rom1 | grep -i aten
$ strings rom2 | grep -i aten
По-видимому, мы не видим его, потому что прошивка всё ещё сжата, что означает, что мы должны сдампить её с маршрутизатора, используя режим отладки:
$ ATDO bfc00000, 1f0000
xmodem
Первое, что приходит на ум — начать поиск таблицы диспетчеризации. Почему? Просто интуиция; единственная альтернатива — if-elif, но это будет длинный набор проверок на валидность пароля, введённого пользователем. Вот что я получил:
ROM:800158A0 CmdTable: .word unk_80015C20 # DATA XREF: sub_8000E3D8+4Co
ROM:800158A0 # sub_8000E3D8+90o ...
ROM:800158A4 .word sub_8000E6D0
ROM:800158A8 .byte 0
ROM:800158A9 .byte 0
ROM:800158AA .byte 0
ROM:800158AB .byte 0
ROM:800158AC .word aJustAnswerOk # " just answer OK"
ROM:800158B0 .word aAthe # "ATHE"
ROM:800158B4 .word CMD_SHOW_HELP_ATHE
ROM:800158B8 .byte 0
ROM:800158B9 .byte 0
ROM:800158BA .byte 0
ROM:800158BB .byte 0
ROM:800158BC .word aPrintHelp # " print help"
ROM:800158C0 .word aAtba # "ATBA"
ROM:800158C4 .word CMD_ATBA
...
ROM:800158D0 .word aAten # "ATEN"
ROM:800158D4 .word CMD_ATEN
Помните, что слово MIPS — это 4 байта. Теперь посмотрим на CMD_ATEN:
ROM:8000FF84 lw $a0, 8($s0)
ROM:8000FF88 jal sub_80013654
ROM:8000FF8C li $a1, 0
ROM:8000FF90 jal passwd_generator
и теперь: passwd_generator