搜索

[10152] 2016-05-30_逆向华为路由器第三部分

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-05-30_逆向华为路由器第三部分 逆 向 华 为 路 由 器 第 三 部 分 饭 团 君   F r e e B u f   2 0 1 6 - 0 5 - 3 0 引 文 引 文 在 前 面 两 个 部 分 （ 1 , 2 ） 已 经 介 绍 了 U A R T ， B u s y B o x 等 部 分 的 逆 向 调 试 ， 而 这 篇 将 会 开 始 在 流 量 分 析 方 面 下 手 ， 来 逆 向 出 更 多 的 信 息 。 正 文 正 文 请 看 下 图 ， 数 据 存 储 在 静 态 存 储 单 元 中 ， 想 要 获 取 到 这 些 数 据 ， 那 就 需 要 读 、 写 或 输 出 才 能 获 得 。 而 在 下 图 就 可 以 看 到 P C B 电 路 板 的 布 局 情 况 ， 还 有 就 是 布 线 以 及 分 析 数 据 输 出 情 况 。
在 这 里 需 要 说 明 的 是 我 不 是 在 寻 找 硬 件 的 后 门 信 息 ， 主 要 着 重 于 S P I 数 据 传 输 情 况 （ 图 中 可 见   R a l i n k 标 识 的 芯 片 以 及 外 部 f l a s h ） ， 如 果 想 要 寻 找 相 关 芯 片 资 料 ， 这 个 就 可 以 在 网 上 找 到 ， 这 里 给 出 一 些 有 关 R T 3 3 5 2 F ( 雷 凌 ) 芯 片 （ 点 击 我 ） ， 还 有 6 4 位 S P I 闪 存 （ S p a n s i o n   F L 0 6 4 P I F ） 的 资 料 ， 现 在 我 已 经 掌 握 芯 片 资 料 、 还 有 之 前 的 文 章 的 一 些 协 议 分 析 内 容 ， 下 面 我 就 开 始 按 照 之 前 的 计 划 进 行 分 析 了 。 这 里 要 说 明 一 点 内 容 就 是 S P I 部 分 的 ， S P I 的 通 信 原 理 是 以 主 从 方 式 工 作 ， 这 种 模 式 通 常 有 一 个 主 设 备 和 一 个 或 多 个 从 设 备 ， 需 要 至 少 4 根 线 ， 事 实 上 3 根 也 可 以 （ 单 向 传 输 时 ） 。 也 是 所 有 基 于 S P I 的 设 备 共 有 的 ， 它 们 是 S D I （ 数 据 输 入 ） 、 S D O （ 数 据 输 出 ） 、 S C L K （ 时 钟 ） 、 C S （ 片 选 ） 。 闪 存 闪 存 这 里 主 要 是 关 注 于 R a l i n k   I C 与 闪 存 之 间 通 过 S P I 接 口 进 行 通 信 的 分 析 ， 在 开 始 之 前 ， 还 需 要 连 接 逻 辑 分 析 仪 ， 由 于 之 前 已 经 了 解 到 闪 存 的 数 据 输 出 引 脚 所 以 不 需 要 再 次 逆 向 了 。
S P I 口 四 线 制 引 脚 ： M I S O （ 主 机 输 入 / 从 机 输 出 数 据 线 ，   R a l i n k < - F l a s h ） 、 M O S I （ 主 机 输 出 / 从 机 输 入 数 据 线 ， R a l i n k - > F l a s h ） 、 串 行 时 钟 线 （ S C K ） 、 C S # （ 片 选 ） C S 是 控 制 芯 片 是 否 被 选 中 的 ， 也 就 是 说 只 有 片 选 信 号 为 预 先 规 定 的 使 能 信 号 时 （ 高 电 位 或 低 电 位 ） ， 对 此 芯 片 的 操 作 才 有 效 。 这 就 允 许 在 同 一 总 线 上 连 接 多 个 S P I 设 备 成 为 可 能 。 好 吧 ， 现 在 就 可 以 利 用 分 析 仪 进 行 分 析 了 这 里 需 要 知 道 有 关 S P I 配 置 信 息 ， S P I 是 串 行 通 讯 协 议 ， 也 就 是 说 数 据 是 一 位 一 位 从 M S B 或 者 L S B 开 始 传 输 的 ， 这 就 是 S C K 时 钟 线 存 在 的 原 因 ， 由 S C K 提 供 时 钟 脉 冲 ， M I S O 、 M O S I 则 基 于 此 脉 冲 完 成 数 据 传 输 。   S P I 支 持 4 - 3 2 b i t s 的 串 行 数 据 传 输 ， 支 持 M S B 和 L S B ， 每 次 数 据 传 输 时 当 从 设 备 的 大 小 端 发 生 变 化 时 需 要 重 新 设 置 S P I   M a s t e r 的 大 小 端 ， 传 输 的 数 据 为 8   位 ， 而 最 常 用 的 时 钟 设 置 基 于 时 钟 极 性 ( C P O L ) 和 时 钟 相 位 ( C P H A ) 两 个 参 数 ， C P O L 定 义 S P I 串 行 时 钟 的 活 动 状 态 ， 而 C P H A 定 义 相 对 于 S O - 数 据 位 的 时 钟 相 位 。   C P O L 和 C P H A [ 0 = l e a d i n g ,   1 = t r a i l i n g 的 设 置 决 定 了 数 据 取 样 的 时 钟 沿 ， 至 于 闪 存 可 以 参 考 这 一 点 ，   ( C P O L = 0 ,   C P H A = 0 )   或 ( C P O L = 1 ,   C P H A = 1 ) 。 下 面 就 是 嗅 探 到 的 数 据
这 里 你 需 要 了 解 F L 0 6 4 P I F 的 信 息 （ 网 上 有 更 多 的 资 料 ， 感 兴 趣 的 小 伙 伴 可 以 去 看 看 ） 下 面 是 最 终 分 析 到 的 数 据 信 息 在 之 前 的 资 料 可 以 分 析   F L 0 6 4 P I F 芯 片 的 读 写 速 度 相 对 比 较 快 ， 而 多 路 复 用 器 在 这 方 面 起 到 了 作 用 。 如 果 逻 辑 分 析 仪 功 能 不 多 的 话 ， 分 析 数 据 就 有 些 费 力 了 。 逻 辑 分 析 仪 是 分 析 数 字 系 统 逻 辑 关 系 的 仪 器 ， 映 像 显 示 是 将 存 储 器 中 的 全 部 内 容 以 点 图 形 式 一 次 显 示 出 来 。 它 将 每 个 存 储 器 字 分 为 高 位 和 低 位 两 部 分 ， 分 别 经 X ， Y 方 向 D / A 变 换 器 变 换 为 模 拟 量 ， 送 入 显 示 器 的 X 与 Y 通 道 ， 则 每 个 存 储 器 字 点 亮 屏 幕 上 的 一 个 点 。 而 图 解 显 示 是 将 屏 幕 的 X 方 向 作 为 时 间 轴 ， 将 Y 方 向 作 为 数 据 轴 进 行 显 示 的 一 种 方 式 。 将 欲 显 示 的 数 字 量 通 过 D / A 变 换 器 转 变 成 模 拟 量 ， 将 此 模 拟 量 按 照 存 储 器 中 取 出 的 数 字 量 的 先 后 顺 序 显 示 在 屏 幕 上 形 成 一 个 图 像 的 点 阵 ， 然 后 分 析 数 据 之 后 发 送 到 计 算 机 上 面 。 也 就 是 逻 辑 分 析 仪 将 被 测 数 据 信 号 用 数 字 形 式 写 入 存 储 器 后 ， 可 以 根 据 需 要 通 过 控 制 电 路 将 内 存 中 的 全 部 或 部 分 数 据 稳 定 的 显 示 在 屏 幕 上 ， 所 以 会 得 到 分 析 精 确 的 数 据 ， 如 果 输 出 出 现 问 题 ， 得 到 的 波 形 也 会 出 现 问 题 。 逻 辑 分 析 仪 无 论 采 样 频 率 ， 存 储 空 间 ， 触 发 深 度 等 资 源 都 是 有 限 的 ， 我 们 只 有 充 分 组 合 协 议 相 关 的 组 件 才 能 发 挥 其 最 大 的 效 用 ， 所 以 选 的 那 款 设 备 不 是 很 给 力 的 话 ， 接 口 也 可 以 成 为 一 个 问 题 。 我 记 录 了 R a l i n k - F l a s h   S P I 总 线 ， 这 里 我 使 用 的 是 s a l e a e 逻 辑 分 析 仪 ， 速 率 2 4   M S / s
如 图 中 所 示 时 钟 信 号 由 低 到 高 （ 8 部 分 ） ， 而 这 种 波 形 可 能 会 导 致 数 据 输 出 出 现 问 题 ， 虽 然 允 许 完 全 的 数 据 传 输 正 确 ， 但 是 也 需 要 注 意 这 一 点 ， 这 一 步 和 计 划 步 骤 没 有 太 大 关 系 。 用 分 析 仪 再 一 次 分 析 （ 1 0 0   M S / s ） 现 在 得 到 的 这 个 时 钟 信 号 可 以 说 可 以 了 ， 采 样 率 也 满 足 了 。 如 果 想 要 更 好 的 分 析 ， 可 以 考 虑 买 一 个 更 高 性 能 的 分 析 仪 这 里 需 要 第 二 部 分 的 分 析 ， S P I 接 口 以 及 之 前 分 析 的 M I S O 和 M O S I 部 分 ， 可 以 在 下 面 继 续 分 析 之 前 第 二 部 分 对 于 命 令 行 页 面 （ A T P   C L I   ） 的 一 些 命 令 已 经 介 绍 了 ， 这 个 时 候 需 要 开 启 路 由 器 ， 这 时 候 路 由 器 是 闲 置 的 情 况 ， 并 没 有 开 始 S P I 通 信 ， 开 始 第 一 部 分 命 令 行 页 面 （ A T P   C L I ） ， 然 后 连 接 M I S O / M O S I ， 再 s a v e ， 然 后 计 算 我 需 要 多 少 时 间 来 获 取 到 数 据 。 另 外 需 要 使 用 e n a b l e 命 令 ， 然 后 利 用 逻 辑 分 析 仪 分 析 闪 存 ， 最 后 运 行 s a v e 命 令 ， 分 析 已 经 获 取 到 的 数 据 。 M I S O / M O S I 以 及 e n a b l e 命 令 两 部 分 可 以 在 一 起 使 用 ， 这 样 就 可 以 获 取 到 流 量 范 围 ， 这 次 测 试 也 很 方 便
这 就 是 获 取 到 的 数 据 信 息 这 里 就 需 要 分 析 里 面 的 数 据 哪 些 对 我 有 用 ， 以 及 读 写 数 据 情 况 。 这 里 主 要 可 以 采 取 两 种 方 法 ， 第 一 种 可 以 考 虑 使 用 之 前 的 时 间 顺 序 ， 还 有 一 种 是 创 建 可 读 、 写 二 进 制 文 件 （ 内 存 部 分 ） 。 之 前 的 分 析 仪 分 析 输 出 的 文 件 格 式 为   C S V ， 我 决 定 编 写 一 个 P y t h o n 脚 本 程 序 来 帮 助 我 分 析 文 件 以 及 搜 寻 需 要 使 用 的 文 件 b i n m a k e r . p y 以 及   t r a f f i c _ m a p p e r . p y 。 整 体 工 作 如 下 ， 分 析 数 据 （ C S V ） 、 运 行 脚 本 程 序 、 搜 寻 目 标 C S V 文 件 、 确 定 第 一 个 命 令 （ 第 一 字 节 处 ） 、 处 理 参 数 信 息 （ 地 址 ） 、 读 / 写 分 析 、 A S C I I 编 码 与 二 进 制 转 换 （ p a y l o a d   字 节 ） 、 不 同 二 进 制 文 件 读 / 写 ( M I S O   ( r e a d )   或   M O S I   ( w r i t e ) ) ， 以 及 后 来 T r a f f i c   M a p 效 果 分 析 ( h e x d u m p   - C   o u t p u t . b i n   |   l e s s ) 。 效 果 ： T r a f f i c   M a p 、   M O S I 和 M I S O 、 地 址 。 在 图 中 可 以 看 到 使 用 s a v e 命 令 还 是 有 效 的 同 时 可 以 读 取 6 4 k B   数 据 （ p r o t e c t 部 分 ） 、 还 有 修 改 之 前 获 取 到 的 数 据 ， 在 另 一 部 分 （ M I S O ） 可 以 看 到 很 多 数 据 （ 1 s ）
大 多 数 的 二 进 制 文 件 （ M O S I ） 里 面 都 是 明 文 数 据 （ X M L ） ， 和 之 前 的 文 件 部 分 很 像 ， 包 含 了 W i F i 数 据 信 息 。 也 许 是 为 了 保 留 一 些 出 厂 信 息 ， 这 也 许 就 是 为 什 么 会 在 / v a r / 文 件 夹 下 发 现 了 X M L 文 件 。 固 件 固 件 在 整 个 过 程 中 方 向 是 很 重 要 的 ， 那 就 是 能 不 能 分 析 出 W i F i 密 码 的 加 密 算 法 ， 以 后 再 遇 到 这 个 型 号 的 路 由 器 就 可 以 很 快 知 道 密 码 ， 即 使 在 公 共 场 所 已 知 M a c 地 址 以 及 无 线 网 名 然 后 获 取 路 由 器 型 号 。 但 作 者 表 示 这 个 想 要 做 到 并 不 容 易 ， 需 要 对 固 件 完 全 的 了 解 ， 而 不 是 直 接 外 部 的 调 试 ， 所 以 非 常 的 困 难 ， 而 这 个 也 仅 仅 是 理 论 。 路 由 器 标 签 路 由 器 标 签 在 今 天 首 先 你 会 遇 到 一 个 问 题 就 是 路 由 器 连 接 到 网 络 ， 而 目 前 就 是 在 路 由 器 的 一 面 可 以 发 现 一 张 贴 纸 ， 而 上 面 就 有 路 由 器 的 默 认 管 理 密 码 ， 然 后 配 置 好 后 连 接 网 络 。 这 个 默 认 密 码 就 像 是 一 个 特 定 的 日 期 ， 就 在 路 由 器 上 面 的 贴 纸 ， 同 时 也 需 要 它 来 调 试 路 由 器 。 可 以 说 是 ， 在 路 由 器 和 计 算 机 使 用 相 同 的 算 法 ， 这 样 可 以 保 证 同 步 性 。 而 你 也 可 以 在 计 算 机 上 面 生 成 密 匙 并 储 存 。 作 者 表 示 这 些 算 法 都 可 以 加 密 密 匙 ， 然 后 可 以 节 约 成 本 ， 这 要 比 硬 件 那 种 加 密 成 本 更 低 一 些 。 现 在 继 续 来 收 集 数 据 信 息 ， 而 现 在 更 需 要 弄 清 P C B 电 路 板 上 面 的 详 细 情 况 ， 这 个 时 候 需 要 按 住 出 厂 重 置 按 钮 1 0 s ， 这 个 时 候 的 W i F i 相 关 密 码 应 该 是 默 认 情 况 下 的 ， 如 果 相 关 信 息 在 闪 存 中 ， 我 就 可 以 嗅 探 并 分 析 到 它 ， 下 面 就 是 我 需 要 做 的 ， 分 析 U A R T ， 同 时 按 下 复 位 键 之 后 查 看 分 析 仪 情 况 ， 下 面 U A R T   输 出
流 量 流 量 P y t h o n 脚 本 （ T r a f f i c   M a p 、 M O S I 、 M I S O ） ， 之 前 的 部 分 （ t r a f f i c   m a p ） 在 p r o t e c t   区 域 的 数 据 情 况 ， 并 从 中 读 取 数 据 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ | T r a n s m i s s i o n     M a p | |     M O S I     |     M I S O     | |                 | 0 x 7 e 0 0 0 0 |   S i z e :   1 2         / / P a r t   o f   t h e   P r o t e c t e d   a r e a |                 | 0 x 7 e 0 0 0 0 |   S i z e :   1 7 8 2 |                 | 0 x 7 e 0 7 3 d |   S i z e :   6 3 6 8 3 |   E R A S E   0 x 7 e 0 7 3 d     |   S i z e :   6 4 k B | 0 x 7 e 0 7 3 d |                 |   S i z e :   1 9 5 | 0 x 7 e 0 8 0 0 |                 |   S i z e :   2 5 6 | 0 x 7 e 0 9 0 0 |                 |   S i z e :   2 5 6 - - - - - - - - - / / - - - - - - - -               [ . . . ] - - - - - - - - - / / - - - - - - - - | 0 x 7 e 0 6 0 0 |                 |   S i z e :   2 5 6 | 0 x 7 e 0 7 0 0 |                 |   S i z e :   6 1 |                 | 0 x 7 d 0 0 0 8 |   S i z e :   6 5 5 2 9   / / P a r t   o f   t h e   P r o t e c t e d   a r e a |   E R A S E   0 x 7 d 0 0 0 8     |   S i z e :   6 4 k B | 0 x 7 d 0 0 0 8 |                 |   S i z e :   2 4 8 | 0 x 7 d 0 1 0 0 |                 |   S i z e :   2 5 6 - - - - - - - - - / / - - - - - - - -               [ . . . ] - - - - - - - - - / / - - - - - - - - | 0 x 7 d f f 0 0 |                 |   S i z e :   2 5 6 | 0 x 7 d 0 0 0 0 |                 |   S i z e :   8
|                 | 0 x 1 c 3 8 0 0 |   S i z e :   5 1 2       / / P a r t   o f   t h e   F i l e s y s t e m |                 | 0 x 1 c 3 a 0 0 |   S i z e :   5 1 2 - - - - - - - - - / / - - - - - - - -               [ . . . ] - - - - - - - - - / / - - - - - - - - |                 | 0 x 1 c 5 a 0 0 |   S i z e :   5 1 2 |                 | 0 x 1 c 5 c 0 0 |   S i z e :   5 1 2 我 决 定 结 合 之 前 的 二 进 制 文 件 作 进 一 步 的 分 析 ， 读 取 闪 存 信 息 （   A T P _ L O G ） ， 这 里 有 出 厂 重 置 以 及 远 程 访 问 信 息 ， 这 部 分 是 在 0 x f f （ 1 s   ） ， 改 写 内 存 （ 1 s ） ， 创 建 新 的 A T P _ L O G 信 息 以 及 当 前 配 置 文 件 （ c u r c f g . x m l   ） ， 从 文 件 系 统 中 读 取 压 缩 数 据 信 息 。 系 统 文 件 中 有 一 部 分 数 据 是 在 读 取 （   A F T E R ） 过 程 中 得 到 的 ， 另 外 需 要 说 明 的 就 是 这 个 和 密 码 加 密 算 法 没 有 关 系 ， 可 能 算 法 已 经 加 载 到 内 存 中 了 ， 但 S P I 通 信 方 式 也 没 有 确 定 这 一 点 。 在   M O S I 部 分 可 以 看 到 新 的 W i F i 密 码 （ 闪 存 ） 以 X M L 字 符 串 形 式 出 现 如 果 想 要 获 取 到 默 认 的 密 码 ， 那 就 需 要 分 析 M I S O   部 分 ， 也 许 内 存 中 已 经 加 载 了 ， 而 在 下 一 部 分 将 会 对 这 个 深 挖 。 而 这 里 也 需 要 对 S P I 通 信 在 做 分 析 （   H T T P 认 证 ） ， 主 要 是 看 新 的 W i F i 密 码 ， 即 M a p 、   M I S O 、   M O S I 。 下 面 就 是 在 闪 存 分 析 到 的 信 息
正 如 你 说 看 到 的 ， 这 些 都 是 明 文 信 息 ， 也 就 是 说 没 有 加 密 算 法 在 里 面 ， 但 这 也 不 是 决 定 性 的 ， 因 为 这 也 有 可 能 是 生 成 的 凭 证 ， 或 者 延 迟 算 法 出 现 的 时 间 也 就 是 限 制 访 问 算 法 。 下 一 步 下 一 步 以 后 的 文 章 将 会 分 析 深 挖 闪 存 并 分 析 数 据 算 法 ， 还 有 把 前 面 的 部 分 都 联 系 在 一 起 作 分 析 。 * 参 考 来 源 ： j c j c - d e v ， 饭 团 君 投 递 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）     阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理