搜索

[11624] 2017-08-04_第一只WiFi蠕虫的诞生：完整解析博通WiFi芯片Broadpwn漏洞（含EXP／POC）

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-08-04_第一只WiFi蠕虫的诞生：完整解析博通WiFi芯片Broadpwn漏洞（含EXP／POC） 第 一 只 W i F i 蠕 虫 的 诞 生 ： 完 整 解 析 博 通 W i F i 芯 片 B r o a d p w n 漏 洞 （ 含 E X P ／ P O C ） E l a i n e _ z   F r e e B u f   2 0 1 7 - 0 8 - 0 4 过 去 的 几 个 月 里 ， A n d r o i d   和   i O S   数 十 亿 台 设 备 中 都 曾 出 现 过 可 怕 的   W i F i   远 程 代 码 执 行 漏 洞   B r o a d P w n 。 谷 歌   7   月 初 发 布 了 修 复 补 丁 ， 而 苹 果 则 是 在   7   月   1 9   日 发 布 的 更 新 。 而 此 次 开 得 热 火 朝 天 的   B l a c k   H a t   2 0 1 7 上 安 全 研 究 员   N i t a y   A r t e n s t e i n   也 针 对 这 个 漏 洞 进 行 了 详 细 剖 析 。 B r o a d p w n   漏 洞 甚 至 还 能 进 化 成   W i F i   蠕 虫 ， 如 果 你 的 移 动 设 备 没 有 及 时 更 新 ， 只 需 置 身 在 恶 意 W i F i 范 围 内 就 会 被 黑 客 捕 获 、 入 侵 、 甚 至 被 转 化 成 恶 意 A P 、 继 续 感 染 附 近 的 手 机 终 端 … 目 前 漏 洞 虽 然 已 经 得 到 修 复 — — 但 这 个 漏 洞 的 研 究 过 程 也 许 能 给 安 全 研 究 和 防 护 带 来 深 层 次 的 思 考 。 所 以 ， 本 文 按 照 黑 帽 大 会 上 进 行 的 分 享 及 分 享 者 的 博 客 内 容 进 行 了 整 理 ， 希 望 能 给 大 家 带 来 帮 助 ！ 不 需 要 用 户 交 互 、 完 全 远 程 利 用 的 漏 洞 ， 已 经 消 失 匿 迹 了 一 段 时 间 了 。 这 种 漏 洞 在 一 些 不 够 安 全 、 或 者 说 未 能 不 需 要 用 户 交 互 、 完 全 远 程 利 用 的 漏 洞 ， 已 经 消 失 匿 迹 了 一 段 时 间 了 。 这 种 漏 洞 在 一 些 不 够 安 全 、 或 者 说 未 能 及 时 更 新 的 设 备 上 找 到 ， （ 如 路 由 器 、 及 时 更 新 的 设 备 上 找 到 ， （ 如 路 由 器 、 I o T 设 备 或 者 旧 版 设 备 或 者 旧 版   W i n d o w s   上 ） ， 但 在 上 ） ， 但 在   A n d r o i d   及 及   i O S   上 ， 实 际 并 没 有 上 ， 实 际 并 没 有 可 以 远 程 利 用 并 绕 过 可 以 远 程 利 用 并 绕 过   D E P   及 及   A S L R   保 护 机 制 的 漏 洞 。 如 果 想 要 侵 入 保 护 机 制 的 漏 洞 。 如 果 想 要 侵 入   A n d r o i d   或 或   i O S 设 备 ， 攻 击 者 一 般 还 是 通 设 备 ， 攻 击 者 一 般 还 是 通 过 浏 览 器 漏 洞 进 行 。 从 这 个 角 度 切 入 的 话 ， 我 们 可 以 从 攻 击 者 的 视 角 进 行 思 考 ， 也 就 是 说 ， 有 效 的 漏 洞 利 用 需 过 浏 览 器 漏 洞 进 行 。 从 这 个 角 度 切 入 的 话 ， 我 们 可 以 从 攻 击 者 的 视 角 进 行 思 考 ， 也 就 是 说 ， 有 效 的 漏 洞 利 用 需 要 用 户 主 动 点 击 可 疑 链 接 、 连 接 到 攻 击 者 的 网 络 、 或 者 浏 览 不 受 要 用 户 主 动 点 击 可 疑 链 接 、 连 接 到 攻 击 者 的 网 络 、 或 者 浏 览 不 受   H T T P S   保 护 的 站 点 。 然 而 ， 警 觉 性 高 的 用 户 保 护 的 站 点 。 然 而 ， 警 觉 性 高 的 用 户 就 不 会 上 当 。 就 不 会 上 当 。 随 着 现 代 的 操 作 系 统 不 断 加 强 安 全 防 护 ， 攻 击 者 很 难 找 到 全 新 而 有 力 的 攻 击 向 量 。 当 然 ， 远 程 漏 洞 利 用 绝 非 易 事 。 常 见 的 本 地 漏 洞 利 用 都 会 利 用 各 种 特 定 系 统 上 的 接 口 （ 如 本 地 的 系 统 调 用 或 者 J a v a s c r i p t   ） ， 通 过 各 种 交 互 操 作 触 发 ， 这 样 攻 击 者 可 以 获 取 涉 及 目 标 的 地 址 空 间 以 及 内 存 状 态 的 信 息 。 而 远 程 攻 击 者 ， 在 与 目 标 的 交 互 手 段 上 会 有 很 大 的 限 制 。 为 了 成 功 实 施 一 次 远 程 攻 击 ， 攻 击 者 所 使 用 的 漏 洞 需 要 在 各 种 情 况 下 都 具 有 普 适 性 。 本 研 究 的 目 标 在 于 揭 示 这 种 类 型 的 攻 击 以 及 漏 洞 利 用 — —   B r o a d p w n   是 一 种 完 全 远 程 的 攻 击 ， 它 通 过 博 通   B C M 4 3 x x 系 列   W i F i   芯 片 组 的 漏 洞 在   A n d r o i d   或   i O S   的 主 应 用 程 序 处 理 器 上 进 行 代 码 注 入 。 本 文 的 叙 述 将 会 如 下 流 程 展 开 ： 本 文 的 叙 述 将 会 如 下 流 程 展 开 ： 首 先 是 按 照 思 考 流 程 解 释 我 们 如 何 选 择 适 合 远 程 利 用 的 攻 击 面 ， 接 着 解 释 为 了 避 免 需 要 用 户 交 互 的 触 发 ， 我 们 首 先 是 按 照 思 考 流 程 解 释 我 们 如 何 选 择 适 合 远 程 利 用 的 攻 击 面 ， 接 着 解 释 为 了 避 免 需 要 用 户 交 互 的 触 发 ， 我 们 如 何 在 特 定 程 序 块 中 进 行 调 查 、 最 后 是 如 何 形 成 一 个 可 用 且 完 全 远 程 的 漏 洞 利 用 。 如 何 在 特 定 程 序 块 中 进 行 调 查 、 最 后 是 如 何 形 成 一 个 可 用 且 完 全 远 程 的 漏 洞 利 用 。 文 末 还 会 有 个   [   彩 蛋 彩 蛋   ]   ： ： 在 二 十 世 纪 初 期 ， 自 传 播 的 蠕 虫 恶 意 程 序 很 常 见 。 但 随 着   D E P   和   A S L R   的 出 现 ， 这 种 远 程 e x p   逐 渐 消 失 ， 2 0 0 9   年 的   C o n f i c k e r   成 为 了 历 史 记 载 中 最 后 一 个 自 传 播 的 网 络 蠕 虫 。 而 利 用 当 前 的   B r o a d p w n   我 们 可 以 延 续 传 统 （ : P ） ， 将 其 改 造 成 第 一 个 针 对 移 动 设 备   W i F i   的 蠕 虫 、 同 时 也 是 近 八 年 内 的 第 一 只 公 网 蠕 虫 。 一 、 攻 击 面 分 析 一 、 攻 击 面 分 析
D E P   和   A S L R   是 攻 击 者 最 恐 惧 的 两 个 词 。 一 般 为 了 利 用 漏 洞 进 行 代 码 注 入 ， 我 们 需 要 获 取 涉 及 地 址 空 间 的 信 息 。 但 自 从 有 了   A S L R   机 制 的 存 在 ， 这 些 信 息 就 很 难 获 取 ， 有 些 时 候 需 要 通 过 单 独 的 信 息 泄 露 漏 洞 才 能 获 得 。 以 及 ， 普 遍 意 义 上 远 程 利 用 信 息 泄 露 漏 洞 ， 会 比 普 通 情 况 更 难 ， 因 为 目 标 与 攻 击 者 的 交 互 十 分 有 限 。 在 过 去 的 近 十 年 来 ， 有 数 百 个 漏 洞 因 此 凄 惨 “   死 去   ” 。 当 然 ， 嵌 入 式 系 统 中 不 会 存 在 这 样 的 问 题 ， 路 由 器 、 摄 像 头 、 各 种 I o T 设 备 都 不 会 有 专 门 的 安 全 防 护 机 制 。 但 谈 及 智 能 手 机 ， 情 况 就 又 不 一 样 了 ： A n d r o i d   和 和   i O S   都 很 早 就 应 用 都 很 早 就 应 用   A S L R   机 制 了 ！ 机 制 了 ！ 但 直 接 这 样 说 其 实 还 是 有 不 准 确 的 地 方 的 ， 因 为 这 些 机 制 只 是 针 对 主 应 用 处 理 器 进 行 保 护 — — 然 而 智 能 手 机 本 身 是 一 个 复 杂 系 统 ！ 于 是 我 们 在 进 行 研 究 的 时 候 开 始 思 考 ， 手 机 上 还 有 哪 些 不 受   A S L R   保 护 的 处 理 器 呢 ？ 实 际 上 ， 大 多 数 的   A n d r o i d   和   i O S   智 能 手 机 都 还 有 两 个 额 外 的 处 理 芯 片 ， 这 是 考 虑 远 程 攻 击 的 极 好 的 突 破 口 — — 基 带 基 带 芯 片 芯 片   和   W i F i   芯 片 芯 片 。 基 带 芯 片 基 带 芯 片 涉 及 的 领 域 很 宽 泛 也 很 奇 妙 ， 毋 庸 置 疑 会 吸 引 很 多 攻 击 者 。 但 是 ， 攻 击 基 带 也 是 相 当 有 难 度 的 事 情 ， 因 为 生 产 厂 家 各 不 相 同 ， 攻 击 不 得 不 变 得 非 常 零 碎 。 基 带 市 场 目 前 也 面 临 着 巨 大 的 转 折 ： 多 年 之 前 ， 高 通 是 一 览 众 山 小 的 领 先 者 ， 但 现 在 的 市 场 已 经 被 多 个 竞 争 者 占 领 。 三 星 的 S h a n n o n   m o d e m 在 新 一 代 三 星 手 机 中 得 到 普 及 ； 英 特 尔 的 I n f i n e o n   芯 片 已 经 接 替 了 高 通 ， 成 为   i P h o n e   7   以 上 版 本 的 基 带 ； 而 联 发 科 技 的 芯 片 已 经 成 为 低 成 本   A n d r o i d   设 备 最 受 欢 迎 的 选 择 。 当 然 ， 高 通 仍 然 占 据 高 端 非 三 星   A n d r o i d   中 基 带 市 场 的 主 导 地 位 。 W i F i   芯 片 组 芯 片 组 则 有 着 另 一 段 故 事 ： 但 在 最 主 要 的 智 能 手 机 中 ， 包 括 三 星   G a l a x y   型 号 ， N e x u s   以 及   i P h o n e   在 内 ， 博 通 对 它 们 来 说 都 是 最 主 要 的 芯 片 厂 商 。 在 笔 记 本 设 备 中 ， W i F i   芯 片 组 管 理   P H Y   层 ， 而   k e r n e l   d r i v e r   负 责 处 理   第 三 层 及 以 上 — — 这 被 称 为   S o f t M A C   框 架 。 然 而 在 移 动 设 备 上 ， 由 于 对 电 源 的 考 虑 导 致 设 备 设 计 人 员 选 择 应 用
F u l l M A C   W i F i   实 现 方 式 ， 这 样   W i F i   芯 片 是 自 行 负 责 处 理   P H Y ， M A C   和   M L M E   ， 并 自 行 传 输 准 备 好 的 内 核 驱 动 程 序 数 据 包 ， 这 也 就 是 说   W i F i   芯 片 是 会 自 行 处 理 可 能 被 攻 击 者 控 制 的 数 据 输 入 芯 片 是 会 自 行 处 理 可 能 被 攻 击 者 控 制 的 数 据 输 入 。 在 选 择 攻 击 面 的 考 虑 时 ， 还 有 一 个 因 素 影 响 了 我 们 的 选 择 。 在 博 通 芯 片 上 进 行 测 试 的 时 候 ， 我 们 欣 喜 地 发 现 ， 它 不 受 A S L R   保 护 ， 而 整 个   R A M   都 有   R W X   许 可 — — 这 意 味 着 我 们 可 以 在 内 存 中 的 任 何 地 方 进 行 读 ， 写 和 运 行 代 码 的 在 内 存 中 的 任 何 地 方 进 行 读 ， 写 和 运 行 代 码 的 操 作 ！ 操 作 ！ 但 是 在   S h a n n o n   、 联 发 科 技 、 以 及 高 通 的 基 带 中 存 在   D E P   机 制 的 保 护 ， 所 以 相 对 而 言 ， 更 难 进 行 漏 洞 利 用 。 二 、 博 通 芯 片 分 析 二 、 博 通 芯 片 分 析 博 通 的     W i F i 芯 片 是 高 端 智 能 手 机   W i F i   组 的 主 要 选 择 。 在 不 算 特 别 详 尽 的 研 究 中 ， 我 们 发 现 以 下 智 能 手 机 的 型 号 使 用 的 是 博 通 的   W i F i   芯 片 ： 部 分 三 星   G a l a x y   系 列 的   S 3   至   S 8 所 有 三 星   N o t e s   3 ， N e x u s   5 ,   6 ,   6 X   和   6 P 所 有   i P h o n e s     5   之 后 的 型 号 芯 片 的 型 号 则 是 从   B C M 4 3 3 9   到   B C M 4 3 6 1 型 号 。 芯 片 固 件 的 逆 向 工 程 和 调 试 相 对 简 单 ， 因 为 每 次 芯 片 重 制 后 的 主   O S   都 将 未 加 密 的 固 件 二 进 制 程 序 加 载 到 芯 片 的 R A M   中 ， 由 此 ， 只 是 通 过 手 机 系 统 的 简 单 搜 索 就 足 以 定 位 博 通 固 件 的 地 址 。 但 如 果 在   L i n u x   内 核 上 ， 这 样 的 路 径 通 常 会 在 配 置 的 变 量   B C M D H D _ F W _ P A T H   中 定 义 。 我 们 之 后 又 发 现 了 另 一 件 让 人 高 兴 的 事 情 ， 固 件 上 并 不 会 对 完 整 性 进 行 检 验 ， 也 就 是 说 攻 击 者 可 以 轻 松 地 对 原 始 固 件 进 行 修 改 ， 添 加   h o o k   进 行 打 印 输 出 调 试 或 者 其 他 行 为 修 改 ， 甚 至 修 改 内 核 来 调 用 我 们 自 己 的 固 件 。 我 们 在 研 究 的 过 程 中 就 经 常 地 放 置   h o o k   并 观 察 系 统 的 行 为 （ 更 有 趣 的 是 系 统 的 不 正 常 行 为 ） 。 我 们 调 查 中 的 博 通 芯 片 都 运 行 的 是   A R M   C o r t e x - R 4   微 控 制 器 。 这 个 系 统 的 奇 怪 之 处 在 于 ， 大 部 分 代 码 都 是 在 R O M   上 运 行 的 ， 大 小 为   9 0 0   k 。 而 后 续 的 更 新 都 是 存 放 在   R A M   中 的 ， 也 占   9 0 0   k   的 大 小 。 在 执 行 更 新 或 修 复 的 时 候 ， 在   R A M   中 会 有 一 个 附 加 的   t h u n k   表 ， 然 后 在 执 行 的 特 点 位 置 进 行 调 用 这 个 表 。 如 果 有 错 误 需 要 进 行 修 复 ， 则 可 以 对   t h u n k   表 进 行 重 定 向 指 向 新 代 码 。 而 在 架 构 方 面 ， 将   B C M 4 3 x x   视 为   W i F i   片 上 系 统 （ S o C ） 应 该 是 正 确 的 ， 因 为 这 里 有 两 个 不 同 的 芯 片 在 处 理 包 数 据 。 主 处 理 器   C o r t e x - R 4   在 将 收 到 的 包 数 据 交 给   L i n u x   内 核 之 前 ， 会 先 处 理   M A C   和   M L M E   层 的 数 据 ； 但 使 用 专 有 博 通 处 理 器 架 构 的 单 独 芯 片 则 可 处 理   8 0 2 . 1 1   P H Y   层 。 S o C 的 另 一 个 组 件 是 应 用 处 理 器 的 接 口 ： 早 期 的 博 通 芯 片 使 用 的 是 较 慢 的   S D I O   连 接 ， 而   B C M 4 3 5 8 及 更 高 版 本 使 用 的   P C I e 。
W i F i   S o C   中 的 主 要   A R M   微 控 制 器 运 行 着   H N D R T E   这 个 神 秘 的 专 有 实 时 操 作 系 统 （ R T O S ）   。 虽 然   H N D R T E 是 闭 源 的 ， 但 也 有 地 方 可 以 获 取 到 之 前 版 本 的 源 码 。 之 前 的 研 究 人 员 提 及   L i n u x   b r c m s m a c   驱 动 程 序 — — 它 是   S o f t M A C W i F i 芯 片 的 驱 动 程 序 ， 只 会 处 理   P H Y   层 的 数 据 ， 并 让 内 核 去 执 行 其 他 操 作 。 尽 管 这 个 驱 动 中 却 是 包 含 H N D R T E 的 常 用 源 码 ， 但 我 们 发 现 数 据 包 处 理 的 驱 动 程 序 代 码 （ 我 们 希 望 找 到 漏 洞 的 部 分 ） 与 固 件 中 的 还 是 明 显 不 同 ， 因 此 这 样 的 尝 试 并 没 能 帮 上 我 们 。 最 有 用 的 资 源 则 是   V M G - 1 3 1 2   的 源 代 码 ， V M G - 1 3 1 2   也 是 使 用 博 通 芯 片 组 的 路 由 器 ， 虽 然 这 个 产 品 早 已 被 人 们 遗 忘 。 尽 管 之 前 的   b r c m s m a c   驱 动 中 包 含 博 通 开 源 使 用 在   L i n u x   上 的 代 码 ， 但 在   V M G - 1 3 1 2   中 居 然 包 含 有 博 通 专 有 的 闭 源 代 码 ， 可 以 看 到 代 码 上 标 注 了   “ 这 是 博 通 未 公 开 的 专 有 源 代 码 ”   警 示 信 息 。 显 而 易 见 ， 这 是 博 通 代 码 不 小 心 混 在   V M G - 1 3 1 2   源 码 中 错 误 公 开 了 ！ 这 些 泄 露 的 代 码 片 段 包 含 我 们 在 固 件   b l o b   中 找 到 的 大 部 分 功 能 。 但 这 部 分 还 是 有 些 过 时 ， 没 有 包 含 最 新 的   8 0 2 . 1 1 协 议 的 相 关 处 理 方 法 。 但 我 们 找 到 的 这 部 分 对 于 此 次 研 究 已 经 非 常 有 用 ， 主 要 的 数 据 包 处 理 功 能 并 没 有 发 生 大 的 变 化 。 我 们 通 过 将 源 代 码 与 固 件 进 行 比 对 ， 能 够 快 速 地 获 取 数 据 包 处 理 代 码 部 分 的 整 体 概 念 ， 帮 助 我 们 寻 找 到 值 得 关 注 的 代 码 区 域 ， 并 将 关 注 点 移 到 下 一 个 阶 段 上 — — 如 何 找 到 合 适 可 用 的 漏 洞 。 三 、 漏 洞 在 哪 三 、 漏 洞 在 哪 在 此 确 认 一 下 “ 合 适 可 用 的 漏 洞 “ 的 定 义 ， 我 们 认 为 ， 当 前 所 需 要 寻 找 的 漏 洞 应 当 满 足 以 下 的 要 求 ： 1 .   这 个 漏 洞 不 需 要 攻 击 目 标 进 行 交 互 触 发 2 . 不 需 要 我 们 了 解 系 统 的 当 前 状 态 ， 因 为 远 程 攻 击 并 不 能 了 解 足 够 多 的 信 息 3 . 成 功 利 用 后 ， 这 个 漏 洞 还 是 能 让 系 统 保 持 在 稳 定 状 态
从 那 里 开 始 思 考 呢 。 我 们 可 以 先 简 单 回 顾 一 下   8 0 2 . 1 1   连 接 过 程 。 这 个 过 程 从 客 户 端 发 起 ， 在   8 0 2 . 1 1   l i n g o   中 称 为 移 动 工 作 站 （ S T A ） ， 会 对 附 近 所 有 的 接 入 点 （ A P   ） 发 送 探 测 请 求 （ P r o b e   R e q u e s t ） 来 进 行 连 接 。 然 后 探 测 请 求 中 会 包 含 两 种 数 据 ， 其 一 是   S u p p o r t e d   R a t e s （ 移 动 工 作 站 支 持 的 速 率 ） ； 其 二 是 该 站 点 之 前 连 接 上 的   S S I D   列 表 。 而 在 下 一 个 过 程 中 ， 支 持 对 应 速 率 的   A P   会 发 送 一 个 探 测 响 应 （ 包 含 支 持 的 加 密 类 型 等 数 据 ） 。 之 后 ， S T A   和   A P   都 会 发 送 身 份 认 证 信 息 数 据 包 。 而 在 最 后 一 步 中 ， S T A   会 发 送 关 联 请 求 （ A s s o c i a t i o n   r e q u e s t   ） 给 选 择 连 接 的   A P   。
在 上 述 过 程 中 的 数 据 包 都 有 相 通 的 结 构 ： 基 本 的   8 0 2 . 1 1   报 头 ， 然 后 是 一 些   8 0 2 . 1 1   信 息 元 素 （ I E ） 。 信 息 元 素 都 是 以 众 所 周 知 的   T L V   进 行 编 码 ， 第 一 个 字 节 标 注 信 息 的 类 型 ， 第 二 个 字 节 保 存 长 度 ， 最 后 的 字 节 保 存 实 际 的 数 据 。 通 过 解 析 这 个 数 据 ， A P   和   S T A   都 可 以 在 连 接 过 程 中 获 得 对 方 的 需 求 和 性 能 信 息 。 任 何 实 际 认 证 ， 如 使 用   W P A 2   的 协 议 进 行 的 认 证 ， 都 发 生 在 此 连 接 过 程 之 后 。 由 于 在 连 接 过 程 之 中 并 没 有 真 实 的 认 证 元 素 ， 所 以 攻 击 者 可 以 使 用   M A C   地 址 及   S S I D   模 仿 称 任 何 的   A P 。 S T A   只 能 在 下 一 步 的 认 证 过 程 发 现 这 个   A P   是 伪 造 的 。 这 个 特 性 使 得 连 接 过 程 的 这 一 步 中 出 现 的   b u g   是 非 常 珍 贵 的 。 在 连 接 过 程 中 攻 击 者 如 果 能 发 现   b u g   ， 就 可 以 嗅 探 到 目 标 设 备 的 探 测 请 求 ， 伪 装 成   S T A   在 搜 索 的   A P   ， 然 后 无 需 认 证 即 可 触 发 漏 洞 。 博 通 代 码 高 度 模 块 化 地 处 理   8 0 2 . 1 1   中 不 同 协 议 及 固 件 中 函 数 这 一 点 ， 也 给 我 们 寻 找 漏 洞 提 供 了 便 利 。 在 w l c _ a t t a c h _ m o d u l e   函 数 中 ， 它 将 不 同 的 协 议 和 功 能 抽 象 成 一 个 单 独 的 模 块 。   w l c _ a t t a c h _ m o d u l e   调 用 的 各 种 初 始 化 函 数 的 名 称 能 够 给 一 些 指 导 ， 下 面 是 例 子 ： 在 模 块 初 始 化 函 数 之 后 才 是 相 关 处 理 操 作 的 程 序 部 分 ， 每 次 产 生 或 者 收 到 数 据 包 时 都 会 调 用 这 些 函 数 来 进 行 处 理 。 他 们 会 负 责 匹 配 接 受 到 分 组 数 据 的 上 下 文 ， 或 生 成 用 于 输 出 分 组 的 协 议 数 据 。 我 们 会 更 在 意 协 议 数 据 ， 因 为 这 是 解 析 攻 击 者 控 制 的 数 据 代 码 ， 相 关 函 数 在   w l c _ i e m _ a d d _ p a r s e _ f n   中 ， 具 有 如 下 的 原 型 ：
我 们 很 快 就 可 以 发 现 ， w l c _ i e m _ a d d _ p a r s e _ f n   在   w l c _ m o d u l e _ a t t a c h   得 到 了 调 用 。 通 过 编 写 代 码 来 解 析 传 递 的 参 数 ， 我 们 可 以 为 连 接 过 程 的 每 个 阶 段 创 建 一 个 被 调 用 的 解 析 器 列 表 。 然 后 通 过 缩 小 范 围 ， 提 高 研 究 效 率 ， 发 现 问 题 关 键 。 四 、 漏 洞 所 在 四 、 漏 洞 所 在 无 线 多 媒 体 扩 展 （ W M M ） 是 8 0 2 . 1 1 标 准 的 服 务 质 量 （ Q o S ） 扩 展 ， 使 得 接 入 点 可 以 根 据 不 同 的 接 入 类 别 （ 如 语 音 ， 视 频 或 其 他 ） 对 流 量 进 行 优 先 级 排 序 。 举 例 来 说 ， W M M   被 用 于 在 对 数 据 流 量 高 需 求 的 应 用 （ 例 如   V o I P   或 流 视 频 ） 中 使 用 ， 以 确 保 最 佳 服 务 质 量 。 在 客 户 端 与   A P   的 关 联 过 程 中 ， S T A   和   A P   都 会 以 信 息 元 素 （ I E ） 添 加   W M M   支 持 级 别 标 识 到 信 标 、 探 测 请 求 、 探 测 响 应 、 关 联 请 求 和 关 联 响 应 分 组 的 末 尾 。 在 我 们 分 析 由   w l c _ i e m _ a d d _ p a r s e _ f n   安 装 之 后 解 析 关 联 数 据 包 的 函 数 中 的   b u g   时 ， 我 们 偶 然 发 现 了 以 下 的 函 数 ： 最 后 一 行 的 程 序 调 用 了   m e m c p y ( ) ， 却 没 有 验 证 缓 冲 区   c u r r e n t _ w m m _ i e   是 否 能 容 纳 数 据   i e - > l e n   。 现 在 把 这 个 问 题 称 为   b u g   可 能 还 为 时 太 早 ： 让 我 们 先 看 看 现 在 分 配 给     c u r r e n t _ w m m _ i e   的 大 小 ， 调 查 一 下 是 否 会 引 起 溢 出 。 然 后 我 们 可 以 在 分 配 缓 冲 区 的 函 数 中 找 到 答 案 。
c u r r e n t _ w m m _ i e   缓 冲 区 的 大 小 为   0 x 2 c （ 4 4 ） 字 节 ， 而 整 个   I E   的 最 大 尺 寸 为   0 x f f   ( 2 5 5 )   字 节 ， 这 意 味 着 我 们 可 以 得 到 的 最 大 溢 出 可 以 达 到   2 1 1   字 节 。 但 这 样 的 溢 出 不 一 定 会 让 我 们 实 现 目 标 。 以 前 的   C V E - 2 0 1 7 - 0 5 6 1 （ T D L S   问 题 ） 很 难 利 用 ， 因 为 攻 击 者 最 多 只 能 溢 出 到 下 一 个 堆 ， 也 还 需 要 很 复 杂 的 堆 技 巧 来 获 得 写 入 原 语 的 权 利 ， 同 时 破 坏 堆 的 状 态 及 恢 复 执 行 还 会 更 难 。 据 我 们 目 前 所 知 ， 现 在 这 个   b u g   可 能 也 会 这 样 叫 人 白 费 力 气 ， 所 以 需 要 先 仔 细 看 看 这 里 溢 出 的 是 什 么 。 假 设   m a l l o c ( )   函 数 自 顶 向 下 分 配 内 存 块 ， 通 过 查 看 前 文 的 代 码 中 搜 索 ， 我 们 可 以 发 现   w l c - > p m   结 构 体 就 会 分 配 到 存 储 空 间 ， 紧 挨   w l c - > c u r r e n t _ w m m _ i e   结 构 体 （ 溢 出 目 标 ） 之 后 。 为 了 验 证 这 个 假 设 ， 我 们 把   c u r r e n t _ w m m _ i e   转 换 成 1 6   进 制 ， 在   B C M 4 3 5 9   上 进 行 测 试 的 话 可 以 发 现 — — 它 总 是 会 分 配 在   0 x 1 e 7 d f c   位 置 ： 看 一 下   0 x 2 c   ， 这 里 是   c u r r e n t _ w m m _ i e   的 末 尾 ， 我 们 可 以 看 到 下 一 个 堆 块 的 大 小   0 x 7 a   — — 这 也 是   w l c - > p m   结 构 体 加 上 两 个 字 节 大 小 的 间 隔 所 占 的 大 小 。 所 以 我 们 的 假 设 是 正 确 的 ： 溢 出 只 能 用 在 溢 出 只 能 用 在 w l c _ p m _ s t   类 型 的 结 构 体 类 型 的 结 构 体   w l c - > p m   中 。 中 。 但 值 得 注 意 的 是 ， c u r r e n t _ w m m _ i e   和   p m   的 位 置 是 静 态 的 、 完 全 固 定 的 。 由 于 这 些 结 构 在 初 始 化 过 程 中 得 到 了 提 前 的
分 配 ， 他 们 会 始 终 被 分 配 到 相 同 的 内 存 地 址 。 这 个 特 点 可 以 让 攻 击 者 在 这 一 步 不 用 思 考 复 杂 策 略 。 五 、 漏 洞 利 用 五 、 漏 洞 利 用   E x p l o i t 找 到 漏 洞 还 算 是 轻 松 的 部 分 ， 写 一 个 可 靠 的 远 程 利 用 方 法 更 艰 难 一 些 ， 有 时 发 现 的 漏 洞 很 难 被 利 用 。 编 写 远 程 攻 击 的 主 要 困 难 在 于 需 要 攻 击 目 标 的 地 址 空 间 信 息 ， 其 次 是 有 些 小 错 误 会 导 致 不 可 收 场 ： 在 内 核 远 程 攻 击 中 ， 任 何 错 误 步 骤 都 会 导 致 内 核 恐 慌 ， 受 害 者 就 会 接 到 警 告 消 息 。 而 在 博 通   B r o a d p w n   之 中 ， 这 些 困 难 之 处 万 幸 都 能 够 解 决 ： 首 先 ， 在 漏 洞 利 用 中 我 们 用 到 的 相 关 结 构 体 的 地 址 和 数 据 都 在 固 件 中 是 给 定 的 ， 这 样 ， 我 们 不 需 要 进 行 动 态 地 址 分 配 的 处 理 。 其 次 ， 芯 片 崩 溃 不 会 带 来 很 多 噪 声 ， 用 户 只 会 看 到 在 用 户 界 面 上 的   W i F i   图 标 消 失 ， 芯 片 复 位 时 会 出 现 暂 时 的 连 接 中 断 。 这 样 我 们 就 可 以 针 对 这 个 固 件 顺 利 地 建 立 地 址 字 典 ， 然 后 不 断 启 动   e x p   暴 力 破 解 出 正 确 的 地 址 集 。 我 们 再 来 看 下 如 何 进 行   写 入 原 语 （ w r i t e   p r i m i t i v e ）   的 获 取 。 溢 出 的 结 构 类 型 为   w l c _ p m _ s t   这 可 以 改 变 电 源 的 管 理 状 态 （ 进 入 ／ 离 开 节 电 模 式 ） 这 个 结 构 按 照 如 下 进 行 了 定 义 ： 这 个 结 构 体 之 中 的 四 个 成 员 变 量 很 有 意 思 呢 ， 可 以 被 攻 击 者 利 用 ： p s p o l l _ t i m e r 、     w l _ t i m e r   类 型 的 a p s d _ t r i g g e r _ t i m e r ， p m 2 _ r c v _ t i m e r   和 w l c _ h w t i m e r _ t o _ t   类 型 的   p m 2 _ r e t _ t i m e r 。 在 处 理 数 据 包 和 触 发 溢 出 之 后 ， 函 数   w l c _ h w t i m e r _ d e l _ t i m e o u t   会 被 调 用 ， 同 时 接 收 到   p m 2 _ r e t _ t i m e r   为 参 数 ：
我 们 从 代 码 中 可 以 看 出 ， 通 过 覆 盖   n e w t o   的 值 ， 并 指 向 攻 击 者 控 制 的 位 置 ， n e x t - > t i m e o u t   所 指 向 的 内 存 位 置 就 可 以 增 加   n e w t o - > t i m e o u t   的 内 容 。 这 就 是 一 个   -   在 哪 里 写 入 什 么   -   的 原 语 ， 但 这 样 做 会 有 个 限 制 ， 就 是 攻 击 者 必 须 知 道 被 覆 盖 内 存 位 置 上 的 原 始 内 容 。 还 有 另 一 种 限 制 更 少 的 原 语 写 入 方 法 ， 就 是 通 过   s t r u c t   w l _ t i m e r   类 型 的   p s p o l l _ t i m e r   成 员 。 这 个 结 构 体 能 在 相 关 过 程 中 定 期 触 发 的 回 调 函 数 进 行 处 理 ： 从 这 个 函 数 的 末 尾 可 以 看 到 ， 在 这 里 其 实 可 以 更 方 便 地 获 取 写 入 原 语 。 我 们 可 以 将 我 们 存 储 在 f i e l d _ 1 c 中 的 值 写 入 我 们 存 储 在   f i e l d _ 1 8   中 的 地 址 。 这 样 ， 我 们 可 以 将 任 意 值 写 入 任 何 内 存 地 址 ， 而 不 会 受 到 前 一 种 方 法 的 限 制 。 下 一 个 问 题 就 在 于 ， 如 何 将 我 们 的 写 入 原 语 用 于 完 整 的 代 码 执 行 。 为 此 ， 可 以 考 虑 两 种 方 法 ： 一 种 是 需 要 我 们 事 先 知 道 固 件 内 存 地 址 （ 或 通 过 暴 力 破 解 获 取 ） ， 还 有 一 种 更 难 实 现 的 方 法 。 我 们 先 看 一 下 前 一 种 方 法 。 为 了 实 现 写 入 原 语 ， 我 们 需 要 用 控 制 的 内 存 地 址 覆 盖   p s p o l l _ t i m e r 。 由 于 w l c - >   c u r r e n t _ w m m _ i e   和   w l c - >   p s   的 地 址 对 于 给 定 的 固 件 版 本 是 已 知 且 和 一 致 的 ， 我 们 可 以 完 全 覆 盖 其 内 容 ， 因 此 我 们 可 以 将   p s p o l l _ t i m e r   设 置 为 指 向 这 些 对 象 内 的 任 何 位 置 。 为 了 创 建 一 个 虚 假 的 w l _ t i m e r 对 象 ， w l c - >   c u r r e n t _ w m m _ i e 和 w l c - >   p s 之 间 的 未 使 用 的 区 域 是 最 理 想 的 选 择 。 把 我 们 自 己 伪 造 的   t i m e r   对 象 放 入 ， 然 后 让   f i e l d _ 1 8   指 向   我 们 希 望 覆 盖 的 位 置 （ 减 去
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理