搜索

[12586] 2018-04-14_有趣的闪存：通过实践分析意外内存泄漏

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-04-14_有趣的闪存：通过实践分析意外内存泄漏 有 趣 的 闪 存 ： 通 过 实 践 分 析 意 外 内 存 泄 漏 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 4 - 1 4 写 在 前 面 的 话 写 在 前 面 的 话 在 这 篇 文 章 中 ， 我 们 将 对 闪 存 进 行 分 析 。 我 的 实 验 目 标 是 一 台 别 人 在 这 篇 文 章 中 ， 我 们 将 对 闪 存 进 行 分 析 。 我 的 实 验 目 标 是 一 台 别 人 “ 捐 赠 捐 赠 ” 过 来 的 过 来 的 N e t c o m m   N 3 0 0 路 由 器 ， 在 进 路 由 器 ， 在 进 行 了 深 入 研 究 之 后 ， 我 可 以 通 过 修 改 设 备 闪 存 的 读 入 操 作 并 从 未 认 证 的 行 了 深 入 研 究 之 后 ， 我 可 以 通 过 修 改 设 备 闪 存 的 读 入 操 作 并 从 未 认 证 的 W e b 接 口 获 取 目 标 接 口 获 取 目 标 W e b 服 务 器 的 内 存 数 服 务 器 的 内 存 数 据 。 据 。 开 始 分 析 开 始 分 析 我 们 的 路 由 器 使 用 的 是 一 块 M a c r o n i x   M X 1 5 L 1 2 8 3 5 F M I 闪 存 芯 片 （ 1 6 针 脚 S O P ） ： 首 先 ， 我 需 要 观 察 芯 片 的 常 规 操 作 。 在 研 究 过 程 中 ， 我 发 现 它 的 闪 存 并 没 有 得 到 充 分 使 用 ， 只 有 设 备 在 启 动 （ 或 加 载 整 个 操 作 系 统 ） 时 或 在 使 用 W e b 管 理 面 板 时 会 使 用 到 闪 存 。 闪 存 芯 片 似 乎 使 用 的 是 S i n g l e   A P I 模 式 ， 其 常 规 读 取 命 令 如 下 所 示 ： 命 令 开 头 为 一 个 0 5   F F 命 令 ， 根 据 数 据 表 提 供 的 信 息 ， 这 条 命 令 可 以 读 取 出 寄 存 器 的 状 态 信 息 。 我 最 初 的 目 的 是 对 闪 存 读 取 命 令 进 行 篡 改 ， 并 用 它 来 从 硬 盘 中 读 取 数 据 。 考 虑 到 S P I 命 令 是 与 时 钟 信 号 同 步 的 ， 那 我 的 攻 击 同 样 可 以 跟 同 一 个 时 钟 信 号 同 步 ： 我 可 以 记 录 下 时 钟 上 升 沿 信 号 的
数 量 ， 并 在 特 定 数 量 的 时 钟 信 号 下 将 闪 存 芯 片 的 1 5 号 针 脚 接 地 ， 然 后 修 改 闪 存 的 读 取 命 令 并 用 它 来 读 取 其 他 信 息 。 放 大 时 钟 信 号 后 我 们 可 以 看 到 ， 数 据 只 会 在 时 钟 信 号 的 下 降 沿 发 生 变 化 ， 所 以 我 们 的 攻 击 应 该 是 有 效 的 。 首 先 我 们 进 入 到 设 备 的 串 行 控 制 台 中 ， 然 后 使 用 命 令 c a t   / d e v / m t d b l o c k 0 来 触 发 闪 存 的 读 取 命 令 。 该 命 令 的 原 始 状 态 如 下 所 示 ： 为 了 方 便 进 行 对 比 ， 所 以 我 运 行 了 c a t   / d e v / m t d b l o c k 2 ： 接 下 来 ， 我 连 接 了 一 个 晶 体 管 和 一 个 F P G A ， F P G A 可 以 读 取 时 钟 信 号 并 控 制 晶 体 管 的 开 关 ， 接 地 针 脚 1 5 暂 时 等 待 几 个 时 钟 周 期 ， 并 让 其 中 的 一 个 读 取 指 令 地 址 失 效 ：
我 还 专 门 编 写 了 一 个 脚 本 来 让 程 序 等 待 一 定 的 时 钟 周 期 ， 并 修 改 闪 存 的 读 取 操 作 ， 然 后 运 行 c a t   / d e v / m t d b l o c k 2 并 通 过 示 波 器 来 监 控 闪 存 的 命 令 执 行 情 况 ： 如 果 你 仔 细 看 的 话 ， 你 就 会 发 现 右 边 是 原 始 闪 存 读 取 操 作 的 残 余 部 分 （ 原 始 命 令 / d e v / m t d b l o c k 2 为 0 3   0 1   0 0   0 0 ） ， 我 们 可 以 通 过 运 行 c a t   / d e v / m t d b l o c k 2 命 令 来 验 证 我 们 的 发 现 ：
需 要 注 意 的 是 ， 命 令 确 实 成 功 执 行 了 ， / d e v / m t d b l o c k 2 的 第 一 个 数 据 块 跟 之 前 / d e v / m t d b l o c k 0 的 一 样 ， 表 示 我 们 的 操 作 已 经 成 功 了 。 现 在 ， 我 们 就 可 以 用 这 种 方 法 来 对 W e b 服 务 器 接 口 进 行 攻 击 了 ， 如 果 我 可 以 让 硬 盘 中 的 某 个 资 源 加 载 失 败 ， 理 论 上 来 说 我 就 可 以 让 它 来 读 取 任 何 我 想 要 读 取 的 内 容 了 ， 比 如 说 通 过 W e b 请 求 来 获 取 到 固 件 文 件 等 等 。 但 是 ， 我 很 快 就 遇 到 了 如 下 所 示 的 问 题 ： 虽 然 我 可 以 从 物 理 闪 存 中 读 取 任 意 区 块 ， 但 我 无 法 保 证 数 据 可 以 正 确 解 压 。 虽 然 W e b 服 务 器 似 乎 还 可 以 正 常 工 作 ， 但 是 其 中 的 一 个 图 片 已 经 无 法 正 确 加 载 了 。 用 B u r p 进 行 分 析 后 ， 我 很 快 就 找 到 了 “ 罪 魁 祸 首 ” ： 这 是 一 个 针 对 / w i r e l e s s _ 1 . g i f 的 有 效 请 求 的 一 条 响 应 数 据 ， 我 知 道 这 是 一 个 无 效 的 G I F 文 件 ， 但 我 并 不 知 道 它 到 底 是 什 么 ， 我 猜 测 它 要 么 来 自 于 W e b 服 务 器 的 内 存 ， 或 者 是 磁 盘 中 的 数 据 块 。 为 了 进 行 测 试 ， 我 对 整 个 W e b 应 用 程 序 进 行 了 分 析 ， 然 后 发 送 了 一 条 新 的 / w i r e l e s s _ 1 . g i f 请 求 ：
神 奇 的 是 ， 这 个 g i f 文 件 竟 然 自 己 发 生 了 变 化 ， 而 且 我 也 没 观 察 到 其 他 的 S P I 流 量 生 成 ， 这 表 示 我 成 功 实 现 了 内 存 泄 漏 （ 很 可 能 是 一 个 内 存 用 后 释 放 漏 洞 ） ， 只 不 过 唯 一 的 遗 憾 是 它 并 非 目 标 系 统 的 密 码 文 件 。 攻 击 代 码 攻 击 代 码 P o C ： 【 点 击 底 部 阅 读 原 文 获 取 】 总 结 总 结 虽 然 这 项 攻 击 技 术 对 物 联 网 设 备 来 说 可 能 没 那 么 有 效 ， 但 是 它 的 影 响 还 是 显 而 易 见 的 ， 因 为 我 们 可 以 在 不 需 要 系 统 级 访 问 控 制 权 限 的 情 况 下 ， 就 能 够 随 意 加 载 出 闪 存 中 存 储 的 数 据 了 。 *   参 考 来 源 ： 参 考 来 源 ： a d v a n c e d p e r s i s t e n t j e s t ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理