搜索

[3112] 2016-08-30_【硬件黑客技术】黑进嵌入式智能硬件—BelkinWeMoLink

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2016-08-30_【硬件黑客技术】黑进嵌入式智能硬件—BelkinWeMoLink 【 硬 件 黑 客 技 术 】   黑 进 嵌 入 式 智 能 硬 件 — B e l k i n   W e M o   L i n k 原 创   E 安 全   E 安 全   2 0 1 6 - 0 8 - 3 0 嵌 入 式 入 侵 ？ 嵌 入 式 入 侵 ？ 当 今 社 会 ， 联 网 设 备 日 益 普 及 ， 从 机 车 设 备 到 无 线 照 明 开 关 ， 物 联 网 是 大 势 所 趋 。 物 联 网 使 我 们 的 生 活 更 为 便 利 ， 然 而 ， 但 我 们 也 认 识 到 模 拟 装 置 亦 能 成 为 敌 人 的 目 标 ， 并 潜 在 被 滥 用 。 联 网 设 备 无 处 不 在 ， 能 被 利 用 的 “ 物 ” 也 愈 发 增 多 。 本 文 的 主 要 目 的 在 于 概 括 个 人 如 何 逆 向 工 程 嵌 入 式 设 备 ， 并 设 法 发 现 漏 洞 的 过 程 。 本 文 示 范 研 究 W e M o   L i n k 设 备 。 该 设 备 的 上 次 迭 代 中 存 在 漏 洞 ， 但 这 些 漏 洞 更 关 注 网 络 服 务 组 件 ， 而 不 基 于 分 析 物 理 组 件 的 内 置 安 全 。 分 析 硬 件 的 步 骤 分 析 硬 件 的 步 骤 当 检 查 设 备 时 ， 分 析 员 应 采 取 多 个 步 骤 ， 如 下 ： 1 .   研 究 设 备 2 .   识 别 组 件 3 .   识 别 调 试 端 口 4 .   转 储 闪 存 5 .   提 取 / 分 析 固 件 上 述 步 骤 对 认 知 和 分 析 设 备 至 关 重 要 ， 是 识 别 漏 洞 的 必 经 步 骤 。 以 下 情 形 中 ， 我 们 会 使 用 上 述 步 骤 并 一 一 解 释 ， 阐 述 采 取 的 路 径 、 可 能 会 采 取 的 其 它 潜 在 子 路 径 （ 视 特 定 情 形 而 定 ） 。 研 究 设 备 研 究 设 备 该 项 目 包 括 检 查 主 要 在 嵌 入 式 L i n u x 操 作 系 统 运 行 的 物 联 网 嵌 入 式 硬 件 设 备 。 查 看 了 多 个 物 联 网 设 备 ， 最 终 决 定 测 试 W e M o   L i n k 产 品 ， 因 为 这 类 设 备 能 通 过 移 动 应 用 程 序 控 制 ， 并 且 ， W e M o   L i n k 设 备 还 用 于 家 庭 自 动 化 ， 可 以 利 用 无 线 组 件 并 能 互 联 网 控 制 。
W e M o 产 品 允 许 移 动 应 用 程 序 将 灯 泡 调 暗 ， 并 远 程 开 关 ， 或 为 灯 泡 增 加 智 能 效 果 ， 比 如 让 灯 泡 随 日 出 或 日 落 自 动 同 步 。 W e M o 产 品 由 两 大 主 要 组 件 驱 动 ： W e M o   L i n k 和 W e M o 灯 泡 。 W e M o   L i n k 由 W i F i   2 . 4 G H z   无 线 电 组 件 和 在 同 一 波 段 通 信 的 Z i g B e e 组 件 构 成 。 至 于 软 件 ， 用 户 下 载 A n d r o i d 或 i O S 应 用 程 序 ， 初 步 设 置 W e M o   L i n k ， 然 后 控 制 W e M o 灯 泡 。 初 步 设 置 时 ， W e M o   L i n k   广 播 “ W e M o . B r i d g e . X X X ” 的 S S I D 。 之 后 ， 用 户 用 移 动 设 备 连 接 到 接 入 点 （ A c e s s   P o i n t ，   A P ） ， 分 享 用 户 的 无 线 A P 凭 证 ， 之 后 由 W e M o 操 作 。 W e M o 之 后 接 收 移 动 应 用 程 序 发 送 的 任 何 命 令   ， 并 发 送 至 用 户 的 路 由 器 、 W e M o   L i n k ， 之 后 通 过 Z i g B e e 传 输 命 令 ， 在 适 当 的 灯 泡 上 执 行 命 令 。 识 别 组 件 识 别 组 件 这 个 例 子 中 ， 操 作 的 大 脑 看 似 就 是 W e M o   L i n k 组 件 。 为 了 确 认 ， 需 要 拆 开 设 备 。 用 扁 平 工 具 在 塑 料 边 缘 下 方 用 力 ， 盖 子 很 容 易 就 脱 落 了 。 确 定 正 确 拆 卸 设 备 有 多 种 方 法 — 识 别 拉 带 ， 剥 离 贴 有 保 修 警 告 胶 带 的 螺 丝 。 这 种 情 况 下 ， 设 备 有 一 个 略 微 突 出 的 盖 子 用 四 个 标 签 压 住 。 塑 料 盖 子 后 面 有 两 个 主 要 组 件 ： 主 板 和 包 含 变 压 器 、 整 流 器 等 的 A C / D C 变 换 器 。 检 查 主 板 时 ， 需 要 确 认 与 每 个 组 件 有 关 的 数 据 手 册 ， 以 更 好 地 了 解 设 备 的 运 作 原 理 。 主 板 上 最 显 眼 的 是 W i n b o u n d   W 9 8 2 5 G 6 K H - 6 1   （ 将 适 当 移 除 屏 蔽 罩 ） 3 2   M B   S D R A M 和 具 备 S P I （ 串 行 外 设 接 口 ） 通 信 能 力 的 W i n b o u n d   2 5 Q 1 2 8 F V S G   1 6 M B   系 列 N O R 闪 存 ， 见 图 1 。 后 一 芯 片 用 来 在 主 板 更 持 久 地 存 储 内 存 ， 即 使 设 备 关 机 。 图 1 :   W i n b o u n d   2 5 Q 1 2 8 F V S G 闪 存 拆 除 电 路 板 背 面 两 个 金 属 屏 蔽 罩 （ 轻 易 用 平 头 螺 丝 刀 撬 开 ） 之 后 ， 可 以 看 见 三 个 主 要 组 件 。 从 图 二 中 可 以 看 出 ， 第 一 个 芯 片 是 S o C （ 系 统 级 芯 片 ） R T 5 3 5 0 F ， 这 是 一 个 常 用 于 网 络 设 备 的 M I P S 嵌 入 式 处 理 器 ， 并 支 持 S P I 通 信 、 3 6 0   M H z M I P S 2 4 K E c   C P U 内 核 、 8 0 2 . 1 1 n 无 线 通 信 等 。 该 组 件 用 来 驱 动 设 备 的 主 要 功 能 ， 通 过 调 试 端 口 通 信 ， 与 Z i g B e e 组 件 交 互 并 通 过 内 置 W i F i 组 件 与 路 由 器 通 信 。
图 2 ： R a l i n k   R T 5 3 5 0 F 芯 片 如 图 3 所 示 ： 另 一 屏 蔽 段 包 含 标 记 为 S i l i c o n   L a b s （ 芯 科 实 验 室 ）   E M 3 5 7 的 Z i g B e e 设 备 S o C ， 负 责 处 理 所 有 Z i g B e e   2 . 4 G H z 通 信 和 处 理 能 力 （ 3 2 - b i t   A R M   C o r t e x   M 3 处 理 器 ） — 用 于 传 递 W e M o 灯 泡 的 进 出 信 息 。 同 一 屏 蔽 段 的 另 一 个 芯 片 是 用 于 Z i g B e e   传 输 的 S k y W o r k s   S K Y 6 5 3 3 6 发 射 / 接 收 前 端 模 块 ， 似 乎 被 芯 科   E M 3 5 7   Z i g B e e   S o C 用 来 传 输 实 际 数 据 到 灯 泡 。
图 3 ： 芯 科 （ S i l i c o n   L a b s ）   E M 3 5 7 芯 片 识 别 调 试 端 口 识 别 调 试 端 口 当 调 试 / 与 设 备 交 互 ， 两 种 常 用 的 方 式 为 J T A G （ 联 合 测 试 行 动 组 ） 和 U A R T （ 通 用 非 同 步 收 发 传 输 器 ） 。 J T A G 是 作 为 串 行 接 口 与 目 标 设 备 通 信 的 专 用 调 试 端 口 。 U A R T 是 串 行 通 信 的 一 种 方 式 — 可 以 通 过 U A R T -   U S B 桥 接 器 简 单 在 U S B 上 桥 接 。 寻 找 U A R T 通 信 时 ， 大 多 数 时 候 你 会 看 到 三 到 四 个 针 脚 （ p i n ） 集 聚 在 一 起 追 踪 路 径 到 电 路 板 其 它 部 分 。 为 了 帮 助 识 别 这 些 针 脚 ， 这 里 使 用 的 是 万 用 表 。 将 可 疑 的 针 脚 正 极 接 焊 盘 ， 负 极 接 地 （ 比 如 屏 蔽 罩 ） ， 以 此 监 控 电 压 并 识 别 针 脚 。 这 种 情 况 下 ， W e M o 的 电 路 板 丝 印 好 用 ， 可 以 精 确 标 记 哪 些 焊 盘 与 设 备 交 互 。 它 们 被 标 记 为 U A R T _ R X ,   U A R T _ T X 、 G N D 和 V C C ， 见 图 4 。
图 4 ： 主 板 上 发 现 的 可 访 问 U A R T 焊 盘 为 了 确 认 标 签 准 确 无 误 ， 仍 利 用 万 用 表 测 试 每 个 焊 盘 连 接 。 设 备 通 电 并 监 控 每 个 针 脚 ， U A R T _ R X 在 有 电 压 的 情 况 下 摆 动 。 这 就 表 明 这 个 焊 盘 上 有 数 据 流 ， 接 下 来 会 在 设 备 的 控 制 台 中 查 看 。 U A R T _ T X 用 于 传 输 命 令 到 设 备 ， 并 可 能 不 太 容 易 识 别 。 该 焊 盘 还 显 示 为 3 . 3 V , ， 但 考 虑 到 布 局 ， 没 有 预 料 到 这 是 V C C 。 V C C 有 时 还 将 比 其 它 焊 盘 具 有 更 厚 的 路 径 ， 这 表 明 它 用 来 供 电 。 G N D 焊 盘 在 万 用 表 上 提 供 0 伏 电 压 ， 这 表 明 它 是 接 地 针 脚 ， V C C 供 应 稳 定 的 3 . 3 伏 电 压 ， 表 明 它 是 电 源 焊 盘 。 之 后 将 利 用 这 些 连 接 分 析 闪 存 转 储 的 提 取 固 件 。 转 储 闪 存 转 储 闪 存 如 前 文 W e M o 拆 卸 部 分 所 述 ， 用 于 储 存 设 备 引 导 装 载 程 序 （ b o o t l o a d e r ） 和 固 件 的 闪 存 已 确 定 。 这 是 攻 击 者 设 法 改 动 的 核 心 组 件 。 转 储 组 件 内 存 的 方 式 有 两 种 ， 这 里 将 强 调 第 一 种 方 法 。 这 些 方 法 包 括 ： 将 测 试 芯 片 连 接 到 此 芯 片 ， 同 时 仍 焊 接 到 电 路 板 ， 并 利 用 诸 如 总 线 海 盗 （ B u s P i r a t e ） 之 类 的 工 具 转 储 闪 存 ， 或 脱 焊 芯 片 让 程 序 员 读 取 芯 片 内 存 。
为 了 尽 可 能 硬 件 化 ， 这 里 将 通 过 盗 取 总 线 的 方 式 转 储 S P I 闪 存 ， 而 不 是 脱 焊 芯 片 。 ( E 安 全 微 信 公 众 号 : E A Q a p p ) 希 望 采 取 非 入 侵 的 方 法 达 到 肉 眼 可 能 无 法 看 到 的 效 果 （ 非 物 理 改 动 ） 。 为 了 采 用 这 种 方 法 ， 在 D a n g e r o u s   P r o t o t y p e s 专 门 购 买 了 一 个 总 线 海 盗 和 S O I C 8 / S O P 8 测 试 芯 片 （ 这 些 代 表 不 同 类 型 的 芯 片 封 装 ， 也 就 是 小 型 封 装 集 成 电 路 和 小 型 封 装 ） 。 这 个 特 殊 的 闪 存 芯 片 非 常 适 合 8 针 脚 测 试 芯 片 ， 并 用 来 创 建 连 接 ， 而 不 必 将 芯 片 从 电 路 板 拆 除 。 之 后 ， 正 确 将 芯 片 接 线 连 接 至 总 线 海 盗 端 口 ， 同 时 根 据 数 据 手 册 d a t a s h e e t 引 出 芯 片 的 线 ， 如 图 5 所 示 ： 图 5 ： 芯 片 针 脚 布 局 为 了 从 芯 片 转 储 闪 存 ， 必 须 通 电 。 这 种 情 况 下 ， 我 们 使 用 总 线 海 盗 3 . 3 v 线 为 芯 片 供 电 ， 如 图 6 与 图 7 。
图 6 ： 将 测 试 芯 片 附 在 芯 片 上 图 7 ： 通 过 总 线 海 盗 完 整 设 置 转 储 内 存
偶 尔 会 碰 到 问 题 ： 可 能 会 发 生 电 压 注 入 并 触 发 电 路 板 上 的 其 它 芯 片 。 这 就 意 味 着 其 它 芯 片 将 与 闪 存 芯 片 通 信 、 干 扰 闪 存 转 储 进 程 。 这 就 是 为 什 么 通 常 推 荐 返 修 台 脱 焊 芯 片 并 让 程 序 员 读 取 芯 片 的 原 因 。 庆 幸 的 是 ， 这 次 非 常 幸 运 ， 没 有 碰 到 阻 碍 。 为 了 从 闪 存 芯 片 转 储 整 个 1 6 7 7 7 2 3 2 字 节 （ 准 确 的 说 是 1 6 M B ） ， 使 用 的 是 f l a s h r o m 工 具 ， 与 总 线 海 盗 设 备 完 整 提 取 闪 存 ， 见 图 8 。 图 8 ： 转 储 F l a s h 芯 片 的 内 容 提 取 提 取 / 分 析 固 件 分 析 固 件 由 于 拥 有 设 备 的 闪 存 转 储 ， 可 以 使 用 b i n w a l k 工 具 分 析 闪 存 转 储 内 的 标 头 ， 以 便 更 好 地 了 解 转 储 包 含 的 内 容 ， 见 图 9 。 图 9 ： B i n w a l k 分 析 闪 存 转 储 乍 一 看 ， 我 们 看 到 设 备 使 用 U - B o o t 作 为 引 导 装 载 程 序 （ 常 用 于 嵌 入 式 L i n u x 设 备 ） ， 这 里 有 多 个 文 件 系 统 类 型 ， 比 如 S q u a s h F S 、 J F F S 2 、 等 。 幸 运 的 是 ， b i n w a l k 具 有 一 个 非 常 强 大 的 功 能 ， 能 尽 可 能 多 地 自 动 提 取 在 闪 存 转 储 中 识 别 的 签 名 ， 并 提 供 设 备 的 完 整 文 件 系 统 。 通 过 文 件 系 统 提 取 标 记 （ b i n w a l k   - e ） 运 行 b i n w a l k ， 我 们 通 过 多 个 文 件 系 统 进 行 展 示 ， 其 中 一 个 见 图 1 0 。 图 1 0 ： 提 取 的 文 件 系 统
在 这 个 目 录 中 ， 我 们 取 消 了 硬 件 反 向 工 程 ， 使 用 了 软 件 反 向 工 程 ， 并 开 始 搜 寻 有 趣 项 ， 比 如 用 来 签 名 W e M o 设 备 固 件 的 加 密 密 钥 、 哈 希 根 口 令 、 可 能 开 始 启 动 的 有 趣 服 务 等 。 进 一 步 测 试 进 一 步 测 试 转 储 闪 存 后 ， 有 趣 的 是 所 有 内 存 直 接 可 以 从 芯 片 读 取 ， 引 导 装 载 程 序 绑 定 在 同 一 闪 存 芯 片 上 。 因 为 闪 存 芯 片 上 没 有 设 置 读 取 控 制 ， 并 且 引 导 装 载 程 序 存 于 同 一 芯 片 上 （ 潜 在 未 加 保 护 ） ， 这 就 表 明 也 许 能 在 设 备 上 编 写 自 己 的 数 据 。 经 过 几 次 测 试 ， 可 以 操 纵 闪 存 转 储 二 进 制 ， 比 如 更 改 设 备 的 串 行 （ 反 过 来 更 改 无 线 广 播 A P   S S I D ） 。 最 初 的 测 试 目 的 在 于 ， 查 看 是 否 能 成 功 修 改 部 分 闪 存 并 在 现 实 环 境 中 显 示 修 改 的 内 容 ， 这 种 情 况 被 重 命 名 为 广 播 A P   S S I D 。   “ W e M o . B r i d g e . H A K ” 与 原 来 的 “ W e M o . B r i d g e . C B D ” 截 然 相 反 ， 见 图 1 1 。 图 1 1 ： 通 过 W e M o 设 备 修 改 的 A P   广 播 振 奋 人 心 的 是 ， 可 以 编 写 新 的 二 进 制 文 件 至 设 备 ， 完 全 覆 盖 原 来 的 内 容 。 为 了 进 一 步 检 查 ， 需 要 修 改 闪 存 转 储 并 通 过 查 看 设 备 的 启 动 控 制 台 判 断 结 果 。 这 包 含 连 接 到 设 备 的 U A R T 调 试 焊 盘 （ 如 前 所 述 ） ， 并 查 看 控 制 台 的 输 出 。 为 了 与 U A R T _ T X 焊 盘 交 互 ， 使 用 包 裹 电 工 胶 带 的 弹 簧 夹 压 住 触 碰 焊 盘 的 电 线 ， 并 连 接 到 U A R T ， U A R T _ R X   针 脚 上 的 U S B 设 备 。 ( E 安 全 微 信 公 众 号 : E A Q a p p ) 值 得 注 意 的 是 ， 因 为 设 备 插 上 插 座 ， 并 已 经 通 电 ， 只 需 要 连 接 到 传 输 焊 盘 ， 并 接 地 — 而 不 是 接 电 源 。 这 可 能 会 炸 毁 设 备 。 正 如 图 1 2 所 述 ， 连 接 接 地 线 至 充 当 接 地 的 屏 蔽 罩 ，   这 比 设 法 连 接 接 地 线 到 相 应 的 接 地 焊 盘 要 容 易 得 多 。
图 1 2 ： 通 过 U A R T 接 线 电 路 板 在 软 件 方 面 ， 使 用 b a u d r a t e . p y 通 过 U A R T 确 定 设 备 的 波 特 率 （ 传 输 速 率 ） 。 设 备 通 电 并 重 复 循 环 数 个 乱 码 文 本 行 ， 波 特 率 达 到 5 7 6 0 0 ， 显 示 可 读 文 本 并 显 示 设 备 的 全 部 启 动 过 程 ， 见 图 1 3 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理