搜索

[12724] 2018-05-19_罗技智能家居管理系统（LogitechHarmonyHub）漏洞分析

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-05-19_罗技智能家居管理系统（LogitechHarmonyHub）漏洞分析 罗 技 智 能 家 居 管 理 系 统 （ L o g i t e c h   H a r m o n y   H u b ） 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 1 8 - 0 5 - 1 9 近 期 ， 火 眼 公 司 近 期 ， 火 眼 公 司 M a n d i a n t   R e d   T e a m 团 队 发 现 ， 罗 技 智 能 物 联 网 家 居 管 理 系 统 团 队 发 现 ， 罗 技 智 能 物 联 网 家 居 管 理 系 统 L o g i t e c h   H a r m o n y   H u b 存 在 多 个 存 在 多 个 可 利 用 漏 洞 ， 攻 击 者 可 利 用 这 些 漏 洞 ， 绕 过 系 统 限 制 ， 通 过 可 利 用 漏 洞 ， 攻 击 者 可 利 用 这 些 漏 洞 ， 绕 过 系 统 限 制 ， 通 过 S S H 方 式 获 取 到 设 备 系 统 的 管 理 权 限 。 方 式 获 取 到 设 备 系 统 的 管 理 权 限 。 L o g i t e c h H a r m o n y   H u b 是 一 款 集 成 了 软 硬 件 的 智 能 家 居 管 理 连 接 系 统 ， 攻 击 者 可 以 通 过 漏 洞 控 制 是 一 款 集 成 了 软 硬 件 的 智 能 家 居 管 理 连 接 系 统 ， 攻 击 者 可 以 通 过 漏 洞 控 制 L o g i t e c h   H a r m o n y H u b ， 对 本 地 网 络 内 的 智 能 家 居 系 统 形 成 攻 击 威 胁 。 由 于 ， 对 本 地 网 络 内 的 智 能 家 居 系 统 形 成 攻 击 威 胁 。 由 于 H a r m o n y   H u b 支 持 的 设 备 包 括 对 智 能 锁 、 智 能 恒 温 器 支 持 的 设 备 包 括 对 智 能 锁 、 智 能 恒 温 器 以 及 其 他 智 能 家 庭 设 备 ， 使 用 该 产 品 的 用 户 会 面 临 严 重 安 全 风 险 。 以 及 其 他 智 能 家 庭 设 备 ， 使 用 该 产 品 的 用 户 会 面 临 严 重 安 全 风 险 。 涉 及 漏 洞 涉 及 漏 洞 不 当 的 证 书 验 证 方 式 不 安 全 的 更 新 过 程 开 发 者 遗 留 在 固 件 镜 像 中 的 调 试 信 息 空 密 码 的 r o o t 用 户 影 响 产 品 影 响 产 品 H a r m o n y   E l i t e ,   H a r m o n y   P r o ,   H a r m o n y   H o m e   H u b ,   H a r m o n y   U l t i m a t e   H u b ,   H a r m o n y   H u b ,   H a r m o n y   H o m e C o n t r o l ,   H a r m o n y   S m a r t   C o n t r o l ,   H a r m o n y   C o m p a n i o n ,   H a r m o n y   S m a r t   K e y b o a r d ,   H a r m o n y   U l t i m a t e   a n d U l t i m a t e   H o m e 。 漏 洞 分 析 漏 洞 分 析 M a n d i a n t 团 队 使 用 漏 洞 利 用 组 合 方 式 最 终 r o o t 掉 了 L o g i t e c h   H a r m o n y   H u b ， 这 篇 文 章 分 享 了 漏 洞 发 现 的 测 试 和 分 析 过 程 ， 也 从 侧 面 反 映 出 ， 在 与 人 们 生 活 起 居 息 息 相 关 的 智 能 家 居 时 代 ， 非 常 有 必 要 对 此 类 产 品 进 行 严 格 的 安 全 性 测 试 。
前 期 准 备 前 期 准 备 一 些 公 开 的 研 究 表 明 ， 在 L o g i t e c h   H a r m o n y   H u b 上 的 某 些 硬 件 测 试 点 上 存 在 一 个 通 用 异 步 收 发 传 输 器   ( U A R T ) ， 我 们 把 跳 线 焊 接 到 测 试 点 （ T e s t   p a d ） 上 ， 这 样 我 们 就 能 够 使 用 U S B 串 行 电 缆 的 T T L 方 式 连 接 到 L o g i t e c h   H a r m o n y   H u b 上 。 启 动 过 程 的 初 始 分 析 显 示 ， H a r m o n y   H u b 利 用 U - B o o t   1 . 1 . 4 启 动 ， 并 运 行 为 一 个 L i n u x 内 核 ： 在 对 该 测 试 点 的 启 动 引 导 过 后 ， 由 于 内 核 未 配 置 有 其 它 控 制 接 口 ， 控 制 端 没 有 过 多 输 出 返 回 信 息 显 示 ， 之 后 ， 我 们 在 U - B o o t 中 配 置 了 内 核 启 动 参 数 来 观 察 整 个 启 动 引 导 过 程 ， 但 是 也 没 发 现 任 何 有 用 信 息 。 此 外 ， U A R T 接 口 配 置 仅 为 传 输 ， 通 过 其 也 不 能 实 现 其 它 与 H a r m o n y   H u b 的 交 互 。 为 此 ， 我 们 把 研 究 重 点 转 向 H a r m o n y   H u b 内 置 的 L i n u x 操 作 系 统 和 相 关 运 行 软 件 上 。 固 件 恢 复 和 数 据 提 取 固 件 恢 复 和 数 据 提 取 在 初 始 配 置 阶 段 ， H a r m o n y   H u b 上 的 内 置 A P P 应 用 可 通 过 蓝 牙 用 A n d r o i d 或 i O S 应 用 程 序 与 其 配 对 控 制 。 由 此 ， 我 们 利 用 h o s t a p d 工 具 创 建 了 一 个 模 拟 的 无 线 A P 接 入 环 境 ， 并 在 测 试 用 的 A n d r o i d 设 备 上 安 装 了 B u r p   S u i t e   P r o 证 书 ， 用 以 监 听 H a r m o n y 应 用 程 序 与 H a r m o n y   H u b 和 外 网 的 网 络 通 信 。 一 旦 初 始 的 蓝 牙 配 对 成 功 ， H a r m o n y   A P P 应 用 就 会 搜 索 网 络 内 的 H a r m o n y   H u b 设 备 ， 并 通 过 基 于 A P I 的 h t t p 方 式 与 设 备 通 信 。 另 外 ， H a r m o n y   H u b 会 向 一 个 远 端 互 联 网 的 罗 技 服 务 器 发 送 当 前 的 固 件 版 本 信 息 ， 以 检 测 是 否 存 在 可 用 的 固 件 更 新 。 如 果 有 ， 远 端 的 罗 技 服 务 器 会 通 过 返 回 一 个 包 含 最 新 固 件 版 本 的 U R L 信 息 进 行 响 应 。 尽 管 我 们 使 用 了 自 签 名 证 书 来 拦 截 监 听 H a r m o n y   H u b 发 送 的 H T T P S 流 量 ， 但 我 们 还 是 能 够 观 察 到 整 个 网 络 请 求 响 应 过 程 ， 由 此 也 表 明 H a r m o n y   H u b 未 对 证 书 的 有 效 性 进 行 过 验 证 。
我 们 获 取 了 固 件 并 对 其 进 行 了 分 析 ， 经 过 对 其 中 几 层 目 录 的 提 取 后 发 现 ， 主 要 固 件 文 件 存 储 在 镜 像 的 s q u a s h f s 文 件 夹 中 ， 从 中 可 发 现 ， 整 个 镜 像 为 开 源 的 且 为 l z m a 压 缩 的 S q u a s h F S 文 件 系 统 ， 这 种 系 统 多 应 用 于 嵌 入 式 设 备 中 。 但 是 ， 供 应 商 通 常 会 使 用 与 最 新 的 s q u a s h f s t o o l s 版 本 不 兼 容 的 s q u a s h f s t o o l s 旧 版 本 。 之 后 ， 我 们 使 用   f i r m w a r e - m o d - k i t   工 具 包 中 的 u n s q a s h f s _ a l l . s h 脚 本 来 获 取 u n s q u a s h f s 版 本 信 息 ， 并 进 行 后 续 的 镜 像 信 息 提 取 。 通 过 提 取 的 镜 像 文 件 发 现 ， 其 中 存 在 一 些 H a r m o n y   H u b 操 作 系 统 的 详 细 配 置 信 息 ， 另 外 ， 在 镜 像 中 还 遗 留 了 各 种 调 试 信 息 ， 如 未 s t r i p 清 除 的 内 核 模 块 等 。
在 对   / e t c / p a s s w d   检 查 后 发 现 ， 竟 然 r o o t 用 户 根 本 就 没 设 置 密 码 ， 是 空 密 码 。 也 就 是 说 ， 如 果 能 实 现 d r o p b e a r   S S H s e r v e r 的 启 用 ， 那 么 就 能 轻 松 获 取 H a r m o n y   H u b 的 r o o t 访 问 权 限 。 D r o p b e a r 是 一 个 开 源 的 ， 轻 量 化 S S H 服 务 器 和 客 户 端 程 序 ， 它 运 行 在 一 个 基 于 P O S I X 的 各 种 平 台 ， 尤 其 是 一 些 嵌 入 式 的 L i n u x 设 备 系 统 中 。 我 们 发 现 ， 如 果 文 件 系 统 中 存 在 f i l e / e t c / t d e n e t a b l e ， 则 在 初 始 化 期 间 将 会 启 用 一 个 d r o p b e a r   S S H   s e r v e r 实 例 。 固 件 更 新 劫 持 固 件 更 新 劫 持 在 初 始 化 过 程 中 ， H a r m o n y   H u b 会 请 求 一 个 罗 技 A P I 上 的   G e t J s o n 2 U r i s   终 端 ， 来 获 取 一 个 后 续 能 用 到 的 U R L 列 表 ， 这 些 U R L 可 用 于 固 件 的 更 新 检 测 或 其 它 软 件 包 获 取 。 我 们 拦 截 并 修 改 了 服 务 器 响 应 中 的 J S O N 对 象 ， 将 G e t U p d a t e s 属 性 指 向 我 们 自 己 的 I P 地 址 。
与 固 件 更 新 过 程 类 似 ， H a r m o n y   H u b 向 由 G e t U p d a t e s 指 定 的 终 端 发 送 了 一 个 P O S T 请 求 ， 其 中 包 含 了 当 前 内 部 软 件 包 的 各 种 信 息 。 以 下 为 一 个 对 H E O S 包 的 请 求 示 例 ： 如 果 P O S T 请 求 中 的 s y s B u i l d 参 数 与 当 前 远 端 罗 技 服 务 器 中 的 版 本 不 匹 配 ， 则 远 端 罗 技 服 务 器 会 返 回 一 个 包 含 新 版 软 件 包 的 初 始 响 应 ， 由 于 某 个 未 知 原 因 ， H a r m o n y   H u b 忽 略 了 这 个 响 应 ， 并 接 着 再 次 发 送 了 第 二 个 请 求 ， 远 端 罗 技 服 务 器 在 对 这 个 请 求 的 响 应 中 ， 就 包 含 了 指 向 固 件 更 新 的 U R L 。 通 过 该 U R L ， 我 们 下 载 分 析 了 其 中 为 Z I P 格 式 的   . p k g   文 件 ， 其 中 包 含 了 一 个 简 单 的 文 件 结 构 。 其 中 的 m a n i f e s t . j s o n 文 件 里 有 一 些 H a r m o n y   H u b 更 新 过 程 中 如 何 处 理 压 缩 包 的 信 息 。 u p d a t e . s h 就 是 压 缩 包 中 H a r m o n y   H u b 的 固 件 更 新 脚 本 ， 按 照 前 面 的 分 析 ， 我 们 更 改 了 该 脚 本 ， 创 建 了 / e t c / t d e e n a b l e 文 件 ， 使 得 在 启 动 引 导 过 程 中 能 开 启 S S H 接 口 来 进 行 连 接 。
之 后 ， 我 们 在 本 地 自 己 控 制 的 W e b 服 务 器 上 托 管 了 一 个 . p k g 格 式 的 恶 意 压 缩 包 ， 当 H a r m o n y   H u b 检 查 固 件 更 新 ， 并 向 G e t J s o n 2 U R I s 发 起 请 求 更 新 时 ， 由 于 我 们 在 响 应 中 进 行 了 一 些 改 动 ， 在 其 U R L 响 应 时 ， 我 们 会 把 设 置 的 恶 意 更 新 包 替 换 成 原 始 更 新 包 ， 这 样 一 来 ， H a r m o n y   H u b 最 终 更 新 的 将 是 我 们 事 先 构 造 的 恶 意 更 新 包 。 只 要 设 备 一 重 启 ， S S H 接 口 就 会 自 动 开 启 ， 我 们 也 能 顺 利 地 以 空 密 码 的 r o o t 账 户 连 接 到 设 备 系 统 中 去 。 总 结 总 结 随 着 嵌 入 式 智 能 技 术 在 生 活 中 的 广 泛 应 用 ， 很 多 像 L o g i t e c h   H a r m o n y   H u b 的 I o T 物 联 网 设 备 都 使 用 了 通 用 的 处 理 器 和 系 统 架 构 ， 攻 击 者 可 以 利 用 这 些 架 构 漏 洞 ， 添 加 置 换 进 入 一 些 恶 意 软 件 包 ， 对 目 标 设 备 系 统 形 成 安 全 威 胁 。 好 在 我 们 及 时 把 漏 洞 上 报 给 了 罗 技 官 方 ， 他 们 非 常 重 视 ， 并 迅 速 发 布 了   版 本 为 4 . 1 5 . 9 6 的 修 复 固 件 ， 在 此 ， 希 望 罗 技 相 关 用 户 请 及 时 参 照 更 新 指 南 尽 快 更 新 。 * 参 考 来 源 ： 参 考 来 源 ： f i r e e y e ， ， F r e e B u f   小 编 小 编   c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理