搜索

[11660] 2017-08-13_设计缺陷将导致亚马逊Echo变身成为监听设备

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-08-13_设计缺陷将导致亚马逊Echo变身成为监听设备 设 计 缺 陷 将 导 致 亚 马 逊 E c h o 变 身 成 为 监 听 设 备 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 8 - 1 3 M W R 的 安 全 研 究 专 家 发 现 亚 马 逊 的 安 全 研 究 专 家 发 现 亚 马 逊 E c h o 存 在 一 个 物 理 攻 击 漏 洞 ， 该 漏 洞 将 允 许 攻 击 者 获 得 设 备 的 存 在 一 个 物 理 攻 击 漏 洞 ， 该 漏 洞 将 允 许 攻 击 者 获 得 设 备 的 r o o t   s h e l l （ 设 （ 设 备 底 层 为 备 底 层 为 L i n u x 操 作 系 统 ） ， 然 后 安 装 恶 意 软 件 ， 并 且 不 会 留 下 任 何 攻 击 痕 迹 。 这 种 恶 意 软 件 不 仅 可 以 帮 助 攻 击 操 作 系 统 ） ， 然 后 安 装 恶 意 软 件 ， 并 且 不 会 留 下 任 何 攻 击 痕 迹 。 这 种 恶 意 软 件 不 仅 可 以 帮 助 攻 击 者 获 取 到 目 标 设 备 的 永 久 远 程 访 问 权 并 窃 取 用 户 凭 证 ， 而 且 还 可 以 悄 悄 将 设 备 麦 克 风 所 记 录 下 的 音 频 流 数 据 发 者 获 取 到 目 标 设 备 的 永 久 远 程 访 问 权 并 窃 取 用 户 凭 证 ， 而 且 还 可 以 悄 悄 将 设 备 麦 克 风 所 记 录 下 的 音 频 流 数 据 发 送 到 攻 击 者 所 控 制 的 远 程 服 务 器 。 送 到 攻 击 者 所 控 制 的 远 程 服 务 器 。 这 个 漏 洞 是 由 于 以 下 两 个 硬 件 设 计 缺 陷 所 导 致 的 ： 接 下 来 ， 我 们 会 告 诉 大 家 如 何 对 亚 马 逊 E c h o 进 行 r o o t ， 并 将 其 变 成 一 台 “ 监 听 器 ” 。 前 人 的 工 作 前 人 的 工 作 之 前 已 经 有 安 全 人 员 通 过 在 设 备 调 试 面 板 上 插 入 外 部 S D 卡 来 将 设 备 引 导 启 动 进 通 用 的 L i n u x 环 境 中 了 ， 关 于 具 体 的 操 作 步 骤 、 漏 洞 细 节 和 S D 卡 引 导 镜 像 都 可 以 在 G i t H u b 上 找 到 【 传 送 门 】 。 除 此 之 外 ， 研 究 人 员 还 专 门 发 布 了 相 关 的 研 究 报 告 并 介 绍 了 r o o t 亚 马 逊 E c h o 的 可 能 性 。 我 们 在 这 些 研 究 的 基 础 上 进 行 了 进 一 步 的 深 入 扩 展 ， 并 将 亚 马 逊 E c h o 引 导 启 动 进 入 了 真 实 的 系 统 固 件 ， 安 装 持 久 化 后 门 、 获 得 了 远 程 r o o t   s h e l l 的 访 问 权 ， 并 最 终 实 现 了 对 设 备 麦 克 风 的 远 程 实 时 窃 听 。 R o o t 设 备 设 备 将 亚 马 逊 E c h o 底 部 的 橡 胶 垫 揭 开 之 后 ， 我 们 会 看 到 1 8 个 调 试 面 板 ， 关 于 这 些 面 板 的 具 体 作 用 请 参 考 C l i n t o n 等 人 发 表 的 文 章 【 传 送 门 】 。 1 .     暴 露 了 设 备 的 调 试 面 板 ； 2 .     硬 件 配 置 允 许 设 备 从 外 部 S D 卡 引 导 启 动 ；
通 过 与 这 些 暴 露 在 外 的 U A R T 面 板 相 连 接 ， 我 们 就 可 以 查 看 到 设 备 的 启 动 信 息 ， 并 获 取 到 设 备 的 配 置 详 情 。
但 不 幸 的 是 ， 在 设 备 的 启 动 过 程 中 我 们 既 没 有 拿 到 s h e l l ， 也 没 有 得 到 登 录 提 示 ， 而 且 U - B o o t 启 动 过 程 也 没 办 法 中 断 。 亚 马 逊 E c h o 的 主 M C U 是 一 块 由 美 国 德 州 仪 器 制 造 的 D M 3 7 2 5 数 字 媒 体 处 理 器 （ 配 备 了 一 个 A R M   C o r t e x - A   C P U ） 。 在 设 备 的 启 动 过 程 中 ， 芯 片 的 启 动 过 程 分 为 三 步 。 首 先 ， 设 备 会 通 过 一 个 b o o t r o m 来 完 成 硬 件 的 最 小 化 配 置 。 接 下 来 ， 它 会 将 第 二 个 b o o t l o a d e r （ X - l o a d e r ） 加 载 进 M C U 的 内 部 R A M 。 这 一 步 需 要 在 第 三 个 b o o t l o a d e r （ U - B o o t ） 加 载 进 外 部 R A M 之 前 完 成 。 最 后 ， U - B o o t 便 会 加 载 内 核 并 向 其 传 递 控 制 信 息 。
根 据 亚 马 逊 E c h o 的 配 置 ， 它 首 先 会 尝 试 从 连 接 至 调 试 面 板 的 S D 卡 （ 优 先 与 内 部 e M M C 单 元 ） 启 动 ， 这 种 启 动 顺 序 的 设 置 主 要 取 决 于 启 动 过 程 中 M C U 的 硬 件 状 态 ， 而 且 只 能 通 过 修 改 硬 件 主 板 的 配 置 来 改 变 启 动 顺 序 。 因 此 ， 我 们 只 需 要 向 S D 卡 写 入 X - l o d a e r 以 及 U - B o o t ， 并 进 行 正 确 的 分 区 ， 我 们 就 可 以 让 设 备 从 S D 卡 启 动 并 进 入 U - B o o t 命 令 行 界 面 。 由 于 设 备 的 隐 藏 R O M 是 以 S P I 模 式 来 与 S D 卡 通 信 的 ， 而 且 我 们 无 法 通 过 S D 卡 启 动 至 设 备 的 主 操 作 系 统 ， 所 以 我 们 不 需 要 连 接 上 图 中 所 有 的 S D M M C 面 板 。 M M C 与 S P I 的 映 射 关 系 如 下 : S D M M C   D 0   →   M I S O S D M M C   D 3   →   ! S S S D M M C   C M D   →   M O S I S D M M C   C L O C K   →   S C K 我 们 还 需 要 给 S D M C C   P O W E R 面 板 和 S D 卡 外 接 一 个 + 3 V 电 源 ， 然 后 连 接 其 中 一 个 G N D 面 板 。 下 图 就 是 我 们 的 实 验 环 境 ， 其 中 亚 马 逊 E c h o 连 接 到 了 一 个 外 部 S D 卡 电 路 板 ， 并 通 过 U A R T 与 笔 记 本 电 脑 相 连 。 接 下 来 ， 我 们 通 过 S D 卡 （ 写 入 了 X - l o a d e r 和 U - B o o t ） 启 动 设 备 之 后 ， 我 们 就 可 以 中 断 设 备 的 启 动 过 程 ， 并 进 入 U - B o o t 命 令 行 接 口 。 这 样 一 来 ， 我 们 就 有 可 能 查 看 到 文 件 系 统 内 部 内 存 中 的 内 容 了 ， 而 且 我 们 甚 至 还 可 以 重 新 修 改 内 核 参 数 。 现 在 我 们 需 要 确 定 内 部 e M M C 的 哪 一 个 分 区 中 包 含 主 内 核 以 及 文 件 系 统 。 内 部 e M M C 有 八 个 分 区 ， 分 区 标 签 如 下 : 1 .   x l o a d e r 2 .   r e c o v e r y 3 .   b o o t 4 .   i d m e
5 .   d i a g 6 .   m a i n - A 7 .   m a i n - B 8 .   d a t a d i a g 分 区 加 载 的 是 一 个 诊 断 环 境 ， 我 们 还 没 有 对 其 进 行 完 整 的 测 试 。 我 们 所 要 找 的 主 文 件 系 统 以 及 内 核 会 在 m a i n - A 和 m a i n - B 分 区 之 间 转 换 ， 每 一 次 设 备 固 件 更 新 便 会 引 发 分 区 转 换 。 为 了 找 出 我 们 的 目 标 分 区 ， 我 们 可 以 利 用 U - B o o t 并 使 用 下 列 命 令 对 文 件 系 统 进 行 测 试 ： u b o o t >   m m c   d e v   1 u b o o t >   e x t 4 l s   m m c   1 : 6 u b o o t >   e x t 4 l s   m m c   1 : 7 运 行 上 面 的 命 令 之 后 ， 我 们 只 能 够 看 到 其 中 一 个 分 区 的 文 件 系 统 ， 如 果 我 们 想 要 查 看 这 两 个 分 区 的 文 件 系 统 ， 我 们 就 要 通 过 一 次 固 件 更 新 来 完 成 分 区 转 换 。 确 定 了 分 区 之 后 ， 我 们 就 可 以 修 改 U - B o o t 并 让 它 从 这 个 分 区 启 动 。 除 此 之 外 ， 我 们 还 要 修 改 内 核 参 数 并 以 可 写 文 件 系 统 的 形 式 加 载 这 个 分 区 ， 然 后 运 行 / b i n / s h ， 而 不 是 运 行 正 常 的 启 动 脚 本 。
得 到 了 r o o t   s h e l l 之 后 ， 我 们 就 可 以 绕 过 所 有 的 认 证 机 制 了 。 但 是 现 在 设 备 每 隔 几 分 钟 就 会 重 启 一 次 ， 为 了 防 止 设 备 自 动 重 启 ， 我 们 需 要 设 置 一 个 监 控 进 程 ， 并 定 期 重 置 设 备 的 重 启 计 时 器 。   运 行 下 列 命 令 启 动 监 控 进 程 （ w a t c h d o g ） ： 现 在 测 试 环 境 总 算 是 稳 定 了 ， 但 是 主 要 的 服 务 都 还 没 有 启 动 ， 设 备 的 功 能 也 没 有 完 全 释 放 。 不 过 我 们 已 经 得 到 了 整 个 文 件 系 统 的 完 整 读 写 权 限 ， 而 且 还 可 以 随 意 修 改 配 置 。 在 我 们 的 P o C 中 ， 我 们 在 d a t a 分 区 （ 可 写 分 区 ） 中 安 装 了 一 个 反 向 s h e l l 脚 本 。 使 用 下 列 命 令 加 载 这 个 分 区 ： 分 区 加 载 完 成 之 后 ， 我 们 就 可 以 通 过 这 个 反 向 s h e l l 脚 本 来 实 现 设 备 的 持 久 化 感 染 了 。 我 们 还 需 要 在 设 备 启 动 之 后 触 发 这 个 反 向 s h e l l 脚 本 ， 我 们 只 需 要 在 其 中 一 个 初 始 化 脚 本 的 结 尾 添 加 下 列 代 码 即 可 。 我 们 选 择 的 是 / e t c / i n i t . d / v a r l o c a l . s h ， 因 为 它 是 最 后 几 个 运 行 的 初 始 化 脚 本 之 一 ， 而 且 它 还 可 以 加 载 d a t a 分 区 。 安 装 好 反 向 s h e l l 脚 本 之 后 ， 我 们 就 可 以 移 除 外 部 S D 卡 和 U A R T 连 接 线 ， 然 后 重 启 E c h o 并 进 入 正 常 状 态 了 。 在 设 备 重 启 的 过 程 中 ， 初 始 化 脚 本 会 运 行 我 们 的 反 向 s h e l l 。 如 果 我 们 远 程 监 听 设 备 的 1 3 7 7 端 口 ， 我 们 就 可 以 通 过 r o o t   s h e l l 与 远 程 设 备 进 行 连 接 了 ： 你 有 在 听 吗 ？ 你 有 在 听 吗 ？
接 下 来 ， 我 们 就 可 以 使 用 亚 马 逊 自 己 开 发 的 “ s h m b u f _ t o o l ” 应 用 程 序 来 获 取 音 频 缓 冲 区 中 的 音 频 多 媒 体 数 据 了 。 我 们 自 己 创 建 了 一 个 能 够 持 续 不 断 地 向 f i f o 管 道 写 入 原 始 音 频 数 据 （ 通 过 麦 克 风 窃 听 ） 的 脚 本 ， 并 通 过 T C P / I P 将 音 频 流 传 送 到 远 程 服 务 器 。 在 远 程 服 务 器 端 接 收 到 原 始 音 频 数 据 之 后 ， 我 们 可 以 将 其 保 存 为 一 个 w a v 文 件 或 直 接 通 过 扬 声 器 进 行 播 放 。 需 要 注 意 的 是 ， 这 项 攻 击 技 术 并 不 会 影 响 亚 马 逊 E c h o 原 本 的 正 常 功 能 。 脚 本 代 码 s t a r t S t r e a m . s h 如 下 ： 下 列 命 令 可 以 将 音 频 流 数 据 保 存 到 远 程 服 务 端 ： 或 者 使 用 下 列 命 令 通 过 扬 声 器 播 放 窃 听 数 据 ：   漏 洞 修 复 漏 洞 修 复 2 0 1 5 和 2 0 1 6 版 的 亚 马 逊 E c h o 均 存 在 这 个 漏 洞 ， 但 是 2 0 1 7 版 已 经 修 复 了 这 个 问 题 。 下 图 为 存 在 漏 洞 的 2 0 1 6 版 亚 马 逊 E c h o ， 型 号 编 码 2 3 - 0 0 2 5 1 8 - 0 1 : 下 图 为 修 复 后 的 2 0 1 7 版 亚 马 逊 E c h o ， 型 号 编 码 2 3 - 0 0 2 5 1 8 - 0 2 :
参 考 资 料 参 考 资 料 1 .   h t t p s : / / g i t h u b . c o m / e c h o h a c k i n g / w i k i / w i k i / E c h o 2 .   h t t p s : / / v a n d e r p o t . c o m / C l i n t o n _ C o o k _ P a p e r . p d f 3 . h t t p s : / / w w w . t h e v e r g e . c o m / c i r c u i t b r e a k e r / 2 0 1 6 / 1 2 / 1 4 / 1 3 9 5 5 8 7 8 / w y n n - l a s - v e g a s - a m a z o n - e c h o - h o t e l - r o o m - p r i v a c y *   参 考 来 源 ： m w r i n f o s e c u r i t y ，   F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理