搜索

[16119] 2020-11-22_IoT漏洞研究（一）固件基础

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2020-11-22_IoT漏洞研究（一）固件基础 I o T 漏 洞 研 究 （ 一 ） 固 件 基 础 原 创   W o K o u g h   F r e e B u f   2 0 2 0 - 1 1 - 2 2 随 着 5 G 时 代 的 到 来 ， 物 联 网 扮 演 的 角 色 也 越 来 越 重 要 ， 同 时 也 伴 随 更 多 的 安 全 风 险 。 I O T 安 全 涉 及 内 容 广 泛 ， 本 系 列 文 章 将 从 技 术 层 面 谈 一 谈 笔 者 对 I O T 漏 洞 研 究 的 理 解 。 笔 者 将 从 固 件 、 w e b 、 硬 件 、 I O T 协 议 、 移 动 应 用 五 个 维 度 分 别 探 讨 ， 由 于 水 平 能 力 有 限 ， 不 当 或 遗 漏 之 处 欢 迎 大 家 指 正 补 充 。 I o T 固 件 基 础 固 件 基 础 之 所 以 将 固 件 作 为 第 一 个 探 讨 的 主 题 ， 因 为 比 较 基 础 ， I O T 漏 洞 研 究 一 般 无 法 绕 过 。 以 下 将 介 绍 固 件 解 密 ( 若 加 密 ) 、 解 包 打 包 、 模 拟 和 从 固 件 整 体 上 作 安 全 评 估 四 部 分 。 1 . 1   固 件 解 密 固 件 解 密 有 些 I O T 设 备 会 对 固 件 加 密 甚 至 签 名 来 提 高 研 究 门 槛 和 升 级 时 的 安 全 性 ， 因 为 加 解 密 比 较 耗 费 资 源 ， 这 类 设 备 一 般 配 置 会 比 较 高 ， 比 如 一 些 路 由 器 和 防 火 墙 。 1 . 1 . 1   固 件 加 密 判 断 固 件 加 密 判 断 判 断 固 件 是 否 加 密 比 较 简 单 ， 有 经 验 的 小 伙 伴 有 二 进 制 编 辑 器 打 开 就 能 看 出 一 二 ， 一 般 会 存 在 以 下 特 性 。 除 了 固 件 指 示 头 没 有 可 见 字 符 ， ( 除 去 h e a d e r ) 数 据 按 比 特 展 开 0 1 频 率 基 本 一 致 b i n w a l k ( - e ) 无 法 解 析 固 件 结 构 ， 且 ( - A ) 没 有 识 别 出 任 何 c p u 架 构 指 令 如 果 满 足 上 述 特 点 ， 就 会 猜 测 固 件 已 被 加 密 ， 固 件 解 密 一 般 会 从 这 几 个 角 度 ， 但 也 不 局 限 于 下 面 的 方 法 。 1 . 1 . 2   硬 件 获 取 密 钥 硬 件 获 取 密 钥 此 种 方 法 只 限 于 固 件 始 终 以 加 密 状 态 存 在 ， 当 系 统 启 动 时 才 通 过 解 密 解 包 加 载 至 f l a s h ， 且 设 备 缺 乏 ( U A R T / J T A G 等 ) 动 态 调 试 手 段 。 由 于 f l a s h 中 有 完 整 的 解 密 过 程 ， 可 以 通 过 编 程 器 读 取 f l a s h ， 逆 向 解 密 算 法 和 密 钥 ， 达 到 解 密 固 件 的 目 的 。 比 如 从 某 设 备 的 读 取 的 f l a s h 内 存 分 布 如 下 ： 显 然 我 们 需 要 的 加 密 过 程 在 b o o t   s e c t i o n 中 ， 我 们 需 要 从 中 找 到 加 密 算 法 和 密 钥 ， 一 般 加 密 都 采 用 A E S 等 公 开 分 组 算 法 ， 关 键 是 找 到 分 组 模 式 ， I V ( 非 E C B ) 和 密 钥 。 将 b o o t 加 载 到 I D A   p r o 中 ， 并 没 有 自 动 识 别 ： 0 x 0 0 0 0 0 0 - 0 x 0 2 0 0 0 0   b o o t   s e c t i o n 0 x 0 2 0 0 0 0 - 0 x 0 7 0 0 0 0   e n c r y p t   s e c t i o n 0 x 0 7 0 0 0 0 - 0 x 2 0 0 0 0 0   e n c r y p t   s e c t i o n 0 x 2 0 0 0 0 0 - 0 x 4 0 0 0 0 0   c o n f i g   s e c t i o n
可 以 通 过 对 比 A R M 代 码 最 开 始 部 分 的 中 断 向 量 表 结 构 手 动 识 别 ， 常 见 的 入 口 代 码 如 下 所 示 。 之 后 可 以 就 可 以 逆 向 得 到 加 密 算 法 为 A E S ， 密 钥 通 过 设 备 序 列 号 的 s h a 2 5 6 哈 希 获 得 。 通 过 I D A   p r o 识 别 此 类 结 构 将 在 后 文 介 绍 R T O S 时 探 讨 ， 利 用 这 种 固 件 加 密 方 式 的 设 备 安 全 级 别 教 高 ， 一 般 设 备 只 在 升 级 时 进 行 解 密 验 证 。 1 . 1 . 3   调 试 直 接 读 取 调 试 直 接 读 取 . g l o b l   _ s t a r t _ s t a r t :         b               r e s e t         l d r           p c ,   _ u n d e f i n e d _ i n s t r u c t i o n         l d r           p c ,   _ s o f t w a r e _ i n t e r r u p t         l d r           p c ,   _ p r e f e t c h _ a b o r t         l d r           p c ,   _ d a t a _ a b o r t         l d r           p c ,   _ n o t _ u s e d         l d r           p c ,   _ i r q         l d r           p c ,   _ f i q . . . _ i r q :                 . w o r d   i r q
这 个 方 法 最 容 易 理 解 ， 即 在 设 备 启 动 后 利 用 U A R T 、 J T A G 、 C o n s o l e 或 网 络 等 手 段 把 固 件 ( 打 包 ) 回 传 ， 这 样 就 绕 过 了 解 密 环 节 。 值 得 注 意 的 是 需 要 设 备 提 供 这 些 接 口 ， 具 体 方 法 因 设 备 不 同 而 异 ， 这 些 接 口 的 使 用 将 会 在 硬 件 篇 里 作 介 绍 。 1 . 1 . 4   对 比 边 界 版 本 对 比 边 界 版 本 此 种 方 法 适 用 于 厂 商 一 开 始 没 采 用 加 密 方 案 ， 即 旧 版 固 件 未 加 密 ， 在 某 次 升 级 中 添 加 了 解 密 程 序 ， 随 后 升 级 使 用 加 密 固 件 。 这 样 我 们 就 可 以 从 一 系 列 固 件 中 找 到 加 密 和 未 加 密 之 间 的 边 界 版 本 ， 解 包 最 后 一 个 未 加 密 版 本 逆 向 升 级 程 序 即 可 还 原 加 密 过 程 。 通 过 下 载 上 图 所 示 某 路 由 器 固 件 ， 解 包 后 通 过 搜 索 包 含 诸 如 “ f i r m w a r e ” 、 “ u p g r a d e ” 、 “ u p d a t e ” 、 “ d o w n l o a d ” 等 关 键 字 的 组 合 定 位 升 级 程 序 位 置 。 当 然 存 在 调 试 手 段 也 可 以 在 升 级 时 p s 查 看 进 程 更 新 定 位 升 级 程 序 和 参 数 ： 通 过 I D A   p r o 逆 向 e n c i m g 程 序 很 快 得 到 加 解 密 过 程 代 码 ， 采 用 了 A E S   C B C 模 式 ： 1 . 1 . 5   逆 向 升 级 程 序 逆 向 升 级 程 序 此 种 方 法 适 用 于 已 经 通 过 接 口 或 边 界 版 本 得 到 升 级 程 序 ， 可 以 利 用 分 组 算 法 的 盒 检 测 工 具 来 判 别 加 密 算 法 和 定 位 位 置 ， 当 然 b i n w a l k 也 可 以 解 析 某 些 简 单 情 况 ， 比 如 某 工 控 H M I 固 件 ： / u s r / s b i n / e n c i m g   - d   - i   < f w _ p a t h >   - s   < i m a g e _ s i g n > A E S _ s e t _ d e c r y p t _ k e y   (       / /   u s e r   i n p u t   k e y       c o n s t   u n s i g n e d   c h a r   * u s e r K e y ,       / /   s i z e   o f   k e y       c o n s t   i n t   b i t s ,       / /   e n c r y p t i o n   k e y   s t r u c t   w h i c h   w i l l   b e   u s e d   b y       / /   e n c r y p t i o n   f u n c t i o n       A E S _ K E Y   * k e y ) A E S _ c b c _ e n c r y p t   (       / /   i n p u t   b u f f e r       c o n s t   u n s i g n e d   c h a r   * i n ,       / /   o u t p u t   b u f f e r       u n s i g n e d   c h a r   * o u t ,       / /   b u f f e r   l e n g t h       s i z e _ t   l e n g t h ,       / /   k e y   s t r u c t   r e t u r n   b y   p r e v i o u s   f u n c t i o n       c o n s t   A E S _ K E Y   * k e y ,       / /   i n i t i a l i z a t i n   v e c t o r       u n s i g n e d   c h a r   * i v e c ,       / /   i s   e n c r y p t i o n   o r   d e c r y p t i o n       c o n s t   i n t   e n c )
直 接 加 载 升 级 程 序 ， 定 位 o p e n s s l 调 用 很 容 易 就 得 到 解 密 命 令 ： 1 . 1 . 6   漏 洞 获 取 密 钥 如 果 找 不 到 边 界 版 本 ， 又 找 不 到 调 试 接 口 或 不 熟 悉 硬 件 调 试 ， 可 以 考 虑 采 用 历 史 版 本 漏 洞 先 获 取 设 备 控 制 权 ， 在 拿 到 升 级 程 序 逆 向 加 密 算 法 。 这 种 方 法 比 较 取 巧 ， 需 要 设 备 存 在 R C E 漏 洞 的 历 史 固 件 ， 通 过 降 级 操 作 植 入 漏 洞 获 取 权 限 ， 下 载 所 需 升 级 程 序 ， 然 后 逆 向 得 到 加 密 算 法 。 1 . 2   固 件 解 包 固 件 解 包 初 入 I O T 安 全 研 究 的 小 伙 伴 会 觉 得 固 件 解 包 很 简 单 ， 直 接 就 可 以 了 ， 但 是 理 想 很 丰 满 ， 现 实 很 骨 感 ， 固 件 测 试 多 了 就 会 发 现 b i n w a l k 很 多 情 况 下 都 解 不 开 。 I O T 固 件 一 般 分 为 两 类 ， 一 类 存 在 文 件 系 统 ， 大 多 基 于 l i n u x / B S D ， 另 一 类 固 件 是 一 个 整 体 ， 即 我 们 所 说 的 R T O S ( R e a l - t i m e   o p e r a t i n g   s y s t e m ) 。 1 . 2 . 1   存 在 文 件 系 统 存 在 文 件 系 统 b i n w a l k 大 家 应 该 都 很 熟 悉 ， 使 用 b i n w a l k 能 直 接 得 到 r o o t f s 文 件 系 统 的 情 况 这 里 不 再 赘 述 ， 笔 者 认 为 b i n w a l k 的 强 大 之 处 在 于 可 以 解 析 识 别 多 重 格 式 的 h e a d e r ， 为 解 包 提 供 参 考 。 以 下 介 绍 几 种 需 要 绕 点 弯 的 情 况 ， 当 然 固 件 千 差 万 别 ， 全 看 设 计 者 设 计 ， 不 能 一 一 列 举 。 1 . 2 . 1 . 1   U B I ( U n s o r t e d   B l o c k   I m a g e ) U B I 格 式 的 固 件 算 比 较 常 见 的 ， b i n w a l k 并 不 能 直 接 解 包 ， 但 是 网 上 有 现 成 的 工 具 u b i _ r e a d e r ， 这 里 有 个 需 要 注 意 的 地 方 ： U B I _ r e a d e r 解 包 ， U B I 文 件 必 须 是 1 0 2 4 b y t e s 的 整 数 倍 ， 需 要 增 删 内 容 对 其 比 如 通 过 分 析 某 路 由 器 ， 发 现 其 r o o t f s 是 U B I 格 式 ： i o t @ a t t i f y o s   ~ / D o c u m e n t s >   b i n w a l k   h m i s . t a r . g z D E C I M A L               H E X A D E C I M A L           D E S C R I P T I O N - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 3 4               0 x 2 2                 O p e n S S L   e n c y p t i o n ,   s a l t e d ,   s a l t : 0 x 5 8 7 9 3 8 2 A 7 b i n w a l k   - M e
首 先 安 装 u b i _ r e a d e r ： 或 者 直 接 然 后 将 根 据 地 址 将 U B I 结 构 提 取 出 来 ， 利 用 即 可 解 包 。 1 . 2 . 1 . 2   P F S 有 些 固 件 b i n w a l k 可 以 识 别 出 h e a d e r ， 但 是 无 法 解 开 ， 比 如 下 面 这 个 固 件 运 行 b i n w a l k 后 查 看 结 果 ， 发 现 没 有 发 现 任 何 可 识 别 的 东 西 ， 此 时 可 以 手 动 分 析 或 者 去 搜 索 一 些 相 关 工 具 。 在 网 上 找 到 相 关 工 具 ， 直 接 根 据 提 示 使 用 命 令 就 可 解 开 固 件 。 这 里 简 单 看 一 下 固 件 解 包 关 键 代 码 ， 关 键 在 于 找 到 类 似 ’ x A 5 x A 5 x A 5 x 5 A x A 5 x 5 A ’ 的 h e a d e r ， 之 后 根 据 具 体 格 式 解 包 解 压 即 可 ， 所 以 固 件 解 包 说 到 底 还 是 数 据 格 式 分 析 。 #   b i n w a l k   R O M / w i f i _ f i r m w a r e _ c 9 1 e a _ 1 . 0 . 5 0 . b i n D E C I M A L               H E X A D E C I M A L           D E S C R I P T I O N - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 6 8 4                       0 x 2 A C                       U B I   e r a s e   c o u n t   h e a d e r ,   v e r s i o n :   1 ,   E C :   0 x 0 ,   V I D   h e a d e r   o f f s e t :   0 x 8 0 0 ,   d a t a   o f f s e t :   0 x 1 0 0 0 $   s u d o   a p t - g e t   i n s t a l l   l i b l z o 2 - d e v $   s u d o   p i p   i n s t a l l   p y t h o n - l z o $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / j r s p r u i t t / u b i _ r e a d e r $   c d   u b i _ r e a d e r $   s u d o   p y t h o n   s e t u p . p y   i n s t a l l $   s u d o   p i p   i n s t a l l   u b i _ r e a d e r u b i r e a d e r _ e x t r a c t _ f i l e s   [ o p t i o n s ]   p a t h / t o / f i l e i o t @ a t t i f y o s   ~ / D o c u m e n t s >   b i n w a l k   - M e   v 2 9 1 2 _ 3 8 9 . a l l S c a n   T i m e :           2 0 2 0 - 1 1 - 0 4   1 8 : 3 9 : 1 3 T a r g e t   F i l e :       / h o m e / i o t / D o c u m e n t s / v 2 9 1 2 _ 3 8 9 . a l l M D 5   C h e c k s u m :     1 8 0 c 6 0 1 9 7 a a e 7 e 2 7 2 1 9 1 6 9 5 e 9 0 6 c 9 4 1 e S i g n a t u r e s :         3 9 6 D E C I M A L               H E X A D E C I M A L           D E S C R I P T I O N - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 1 5 4 6 7 9 9               0 x 1 7 9 A 2 F                 g z i p   c o m p r e s s e d   d a t a ,   l a s t   m o d i f i e d :   2 0 4 2 - 0 4 - 2 6   2 0 : 1 3 : 5 6   ( b o g u s   d a t e ) 1 7 1 7 7 4 4               0 x 1 A 3 5 F 0                 L Z 4   c o m p r e s s e d   d a t a 4 1 7 1 5 1 3               0 x 3 F A 6 F 9                 S H A 2 5 6   h a s h   c o n s t a n t s ,   l i t t l e   e n d i a n 4 1 7 9 0 9 8               0 x 3 F C 5 9 A                 C o p y r i g h t   s t r i n g :   " C o p y r i g h t   ( c )   1 9 9 8 - 2 0 0 0   b y   X X X X X   C o r p . " 4 2 1 4 5 3 2               0 x 4 0 4 F 0 4                 B a s e 6 4   s t a n d a r d   i n d e x   t a b l e 4 2 2 4 7 8 0               0 x 4 0 7 7 0 C                 H T M L   d o c u m e n t   h e a d e r 4 2 3 2 3 6 9               0 x 4 0 9 4 B 1                 S H A 2 5 6   h a s h   c o n s t a n t s ,   l i t t l e   e n d i a n 4 3 0 7 8 3 9               0 x 4 1 B B 7 F                 S H A 2 5 6   h a s h   c o n s t a n t s ,   l i t t l e   e n d i a n 4 3 1 4 0 1 7               0 x 4 1 D 3 A 1                 X M L   d o c u m e n t ,   v e r s i o n :   " 1 . 0 " 4 7 0 2 2 3 0               0 x 4 7 C 0 1 6                 B a s e 6 4   s t a n d a r d   i n d e x   t a b l e 4 7 0 7 1 9 7               0 x 4 7 D 3 7 D                 C e r t i f i c a t e   i n   D E R   f o r m a t   ( x 5 0 9   v 3 ) ,   h e a d e r   l e n g t h :   4 ,   s e q u e n c e   l e n g t h :   8 7 3 4 7 2 7 6 0 9               0 x 4 8 2 3 3 9                 B a s e 6 4   s t a n d a r d   i n d e x   t a b l e 4 7 9 1 2 8 1               0 x 4 9 1 B F 1                 P F S   f i l e s y s t e m ,   v e r s i o n   1 . 0 ,   1 2 8 8 6   f i l e s 4 8 0 7 4 0 1               0 x 4 9 5 A E 9                 B a s e 6 4   s t a n d a r d   i n d e x   t a b l e . . . i o t @ a t t i f y o s   ~ / D o c u m e n t s >   l s   _ v 2 9 1 2 _ 3 8 9 . a l l . e x t r a c t e d / p f s - r o o t / 0 0 0 / W E B L O G I N . H T M     _ W E B L O G I N . H T M . e x t r a c t e d / i o t @ a t t i f y o s   ~ / D o c u m e n t s >   l s   _ v 2 9 1 2 _ 3 8 9 . a l l . e x t r a c t e d / p f s - r o o t / 0 0 0 / _ W E B L O G I N . H T M . e x t r a c t e d / 3 C B     3 C B . z l i b     E 2 3 5     E 2 3 5 . z l i b i o t @ a t t i f y o s   ~ / D / d r a y t o o l s >   p y t h o n   d r a y t o o l s . p y   - F   v 2 9 1 0 _ 6 1 2 5 2 . a l l   v 2 9 1 0 _ 6 1 2 5 2 . a l l . o u t   w r i t t e n ,   1 2 8 1 6 4 8 4   [ 0 x 0 0 C 3 9 0 6 4 ]   b y t e s F S   e x t r a c t e d   t o   [ / h o m e / i o t / D o c u m e n t s / d r a y t o o l s / f s _ o u t ] ,   4 2 9   f i l e s   e x t r a c t e d i o t @ a t t i f y o s   ~ / D / d r a y t o o l s >   l s   f s _ o u t / v 2 0 0 0 /     v 2 9 1 0 . l s t i o t @ a t t i f y o s   ~ / D / d r a y t o o l s >   l s   f s _ o u t / v 2 0 0 0 / a c t _ s t a . h t m     C S S /     h e a d e r . h t m     I N D E X 2 . H T M     i v r _ 7 1 1 u /     j g /     l _ m . h t m         m e n u . h t m       S T A T U S . H T M     S Y S I N F O _ C . T X T     U P N P /     w e b a u t h . h t m C G I - B I N /           D O C /     I M A G E S /           i v r _ 7 1 1 a /       i v r _ 7 2 9 /       J S /     L O G I N . H T M     r p a g e . h t m     S T Y L E . C S S       S Y S I N F O . T X T         V L A N /
1 . 2 . 1 . 3   O p e n w r t   L u a l u a 结 构 解 析 放 在 解 包 这 里 可 能 不 太 恰 当 ， 但 鉴 于 O p e n w r t 的 使 用 基 数 很 大 ， 在 这 里 简 单 提 一 下 。 L u a 是 一 门 方 便 嵌 入 并 可 扩 展 的 轻 量 级 脚 本 语 言 ， O p e n w r t 开 发 中 会 使 用 该 脚 本 语 言 。 值 得 注 意 的 是 ， 有 些 设 备 的 l u a 并 不 是 纯 文 本 ， 存 在 混 淆 ， 需 要 使 用 l u a d e c 反 编 译 。 o p e n w r t 中 的 l u a 脚 本 和 传 统 的 l u a j i t 编 译 后 的 有 点 不 一 样 ， 需 要 打 几 个 补 丁 才 能 正 常 使 用 l u a d e c 进 行 反 编 译 ， 命 令 如 下 ： 修 改   l u a - 5 . 1 / s r c / M a k e F i l e ： 接 着 执 行 ： 利 用 l u a d e c 显 示 代 码 结 构 ： d e f   d e c o m p r e s s _ f i r m w a r e ( d a t a ) :         f l e n   =   l e n ( d a t a )         s i g s t a r t   =   d a t a . f i n d ( ' x A 5 x A 5 x A 5 x 5 A x A 5 x 5 A ' )         i f   s i g s t a r t   < =   0 :                 s i g s t a r t   =   d a t a . f i n d ( ' x 5 A x 5 A x A 5 x 5 A x A 5 x 5 A ' )         i f   s i g s t a r t   >   0 :                 i f   d r a y t o o l s . v e r b o s e :                         p r i n t   ' S i g n a t u r e   f o u n d   a t   [ 0 x % 0 8 X ] '   %   s i g s t a r t                 l z o s i z e s t a r t   =   s i g s t a r t   +   6                 l z o s t a r t   =   l z o s i z e s t a r t   +   4                 l z o s i z e   =   u n p a c k ( ' > L ' ,   d a t a [ l z o s i z e s t a r t : l z o s t a r t ] ) [ 0 ]                 r e t u r n   d a t a [ 0 x 1 0 0 : s i g s t a r t + 2 ]                           +   p y d e l z o . d e c o m p r e s s ( ' x F 0 '   +   p a c k ( " > L " , 0 x 1 0 0 0 0 0 0 )                                   +   d a t a [ l z o s t a r t : l z o s t a r t + l z o s i z e ] )         . . . $   c d   . . $   m k d i r   l u a d e c $   c d   l u a d e c / $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / v i r u s c a m p / l u a d e c $   c d   l u a d e c / $   g i t   s u b m o d u l e   u p d a t e   - - i n i t   l u a - 5 . 1 $   c d   l u a - 5 . 1 $   m a k e   l i n u x $   m a k e   c l e a n $   m k d i r   p a t c h $   c d   p a t c h / $   g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 0 1 0 - l u a - 5 . 1 . 3 - l n u m - f u l l - 2 6 0 3 0 8 . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 0 3 0 - a r c h i n d e p e n d e n t - b y t e c o d e . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 0 1 1 - l n u m - u s e - d o u b l e . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 0 1 5 - l n u m - p p c - c o m p a t . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 0 2 0 - s h a r e d _ l i b l u a . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 0 4 0 - u s e - s y m b o l i c - f u n c t i o n s . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 0 5 0 - h o n o r - c f l a g s . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 1 0 0 - n o _ r e a d l i n e . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 2 0 0 - l u a - p a t h . p a t c h $   w g e t   h t t p s : / / d e v . o p e n w r t . o r g / e x p o r t / H E A D / t r u n k / p a c k a g e / u t i l s / l u a / p a t c h e s / 3 0 0 - o p c o d e _ p e r f o r m a n c e . p a t c h $   m v   p a t c h /   p a t c h e s $   f o r   i   i n   . . / p a t c h e s / * . p a t c h ;   d o   p a t c h   - p 1   < $ i   ;   d o n e $   f o r   i   i n   . / p a t c h e s / * . p a t c h ;   d o   p a t c h   - p 1   < $ i   ;   d o n e $   m a k e   l i n u x #   U S E _ R E A D L I N E = 1     + P K G _ V E R S I O N   =   5 . 1 . 5     - C F L A G S =   - O 2   - W a l l   $ ( M Y C F L A G S )     + C F L A G S =   - f P I C   - O 2   - W a l l   $ ( M Y C F L A G S )     -   $ ( C C )   - o   $ @   - L .   - l l u a   $ ( M Y L D F L A G S )   $ ( L U A _ O )   $ ( L I B S )     +   $ ( C C )   - o   $ @   $ ( L U A _ O )   $ ( M Y L D F L A G S )   - L .   - l l u a   $ ( L I B S )     -   $ ( C C )   - o   $ @   - L .   - l l u a   $ ( M Y L D F L A G S )   $ ( L U A C _ O )   $ ( L I B S )     +   $ ( C C )   - o   $ @   $ ( L U A C _ O )   $ ( M Y L D F L A G S )   - L .   - l l u a   $ ( L I B S ) $   m a k e   l i n u x   $   l d c o n f i g   $   c d   . . / l u a d e c   $   m a k e   L U A V E R = 5 . 1   $   s u d o   c p   l u a d e c   / u s r / l o c a l / b i n / $   l u a d e c   - p n   s q u a s h f s - r o o t / u s r / l i b / l u a / l u c i / s g i / u h t t p d . l u a 0     0 _ 0         0 _ 0 _ 0         0 _ 0 _ 1         0 _ 0 _ 2
利 用 l u a d e c 反 编 译 指 定 的 函 数   ( 函 数   0   包 含   子 函 数 ) ： 需 要 注 意 的 是 ， l u a d e c 编 译 与 架 构 相 关 ， 用 官 方 l u a d e c 无 法 解 析 a r m 环 境 下 的 l u a 文 件 ， 但 网 上 也 有 相 应 的 工 具 ， 这 里 不 再 赘 述 。 1 . 2 . 2   R T O S 很 多 I O T 设 备 都 采 用 R T O S ( 实 时 操 作 系 统 ) 架 构 ， 固 件 本 身 就 是 一 个 可 执 行 文 件 ， 不 存 在 文 件 系 统 ， 启 动 后 直 接 加 在 运 行 。 对 R T O S 的 分 析 最 重 要 就 是 两 点 ： ( 一 )   固 件 程 序 入 口 ( 二 )   固 件 程 序 符 号 1 . 2 . 2 . 1   v x w o r k s 首 先 从 应 用 较 广 且 有 套 路 可 循 的 v x w o r k s 说 起 ， V x W o r k s 是 W i n d   R i v e r   S y s t e m 公 司 推 出 的 一 个 实 时 操 作 系 统 ， 广 泛 应 用 在 通 信 、 军 事 、 航 空 、 航 天 嵌 入 式 设 备 领 域 。 因 为 有 标 准 ， 所 以 好 识 别 ， 以 下 面 这 个 固 件 为 例 ： b i n w a l k 已 经 识 别 出 固 件 为 V x w o r k s   5 . 5 . 1 ， 并 且 给 出 了 符 号 表 位 置 。 首 先 需 要 识 别 固 件 的 入 口 点 ， 如 果 固 件 被 封 装 成 E L F 格 式 ， 直 接 利 用 r e a d e l f 就 可 以 得 到 基 地 址 ， 这 里 显 然 不 适 用 。 通 过 得 到 固 件 架 构 是 A R M ， 直 接 用 I D A   p r o 载 入 ： $   l u a d e c   - f   0   s q u a s h f s - r o o t / u s r / l i b / l u a / l u c i / s g i / u h t t p d . l u a i o t @ a t t i f y o s   ~ / D o c u m e n t s >   b i n w a l k   i m a g e _ v x 5 . b i n D E C I M A L               H E X A D E C I M A L           D E S C R I P T I O N - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 3 3 5 2 8 0                 0 x 5 1 D B 0                   P E M   c e r t i f i c a t e . . . 3 7 2 1 5 5 6               0 x 3 8 C 9 5 4                 G I F   i m a g e   d a t a ,   v e r s i o n   " 8 9 a " ,   1 0   x   2 1 0 8 5 1 8 9 3 6               0 x 8 1 F D 1 8                 V x W o r k s   o p e r a t i n g   s y s t e m   v e r s i o n   " 5 . 5 . 1 "   ,   c o m p i l e d :   " M a r     5   2 0 1 5 ,   1 5 : 5 6 : 1 8 " 9 7 3 6 9 8 8               0 x 9 4 9 3 1 C                 S H A 2 5 6   h a s h   c o n s t a n t s ,   l i t t l e   e n d i a n . . . 1 3 3 7 4 5 9 9             0 x C C 1 4 8 7                 C o p y r i g h t   s t r i n g :   " C o p y r i g h t     1 9 9 9 - 2 0 0 1   W i n d   R i v e r   S y s t e m s . " 1 3 3 8 7 3 8 8             0 x C C 5 6 7 C                 V x W o r k s   s y m b o l   t a b l e ,   b i g   e n d i a n ,   f i r s t   e n t r y :   [ t y p e :   f u n c t i o n ,   c o d e   a d d r e s s :   0 x F 4 A 0 9 A 0 0 ,   s y m b o l   a d d r e s s :   0 x F 8 1 3 C 8 0 0 ] 1 3 3 9 1 4 0 5             0 x C C 5 6 2 D                 V x W o r k s   s y m b o l   t a b l e ,   l i t t l e   e n d i a n ,   f i r s t   e n t r y :   [ t y p e :   f u n c t i o n ,   c o d e   a d d r e s s :   0 x B 8 B D ,   s y m b o l   a d d r e s s :   0 x D 0 0 0 C 8 0 0 ] i o t @ a t t i f y o s   ~ / D o c u m e n t s >   r e a d e l f   - a   i m a g e _ v x 5 _ a r m _ l i t t l e _ e n i a d n . b i n   r e a d e l f :   E r r o r :   N o t   a n   E L F   f i l e   -   i t   h a s   t h e   w r o n g   m a g i c   b y t e s   a t   t h e   s t a r t i o t @ a t t i f y o s   ~ / D o c u m e n t s >   b i n w a l k   - A   i m a g e _ v x 5 . b i n   | m o r e D E C I M A L               H E X A D E C I M A L           D E S C R I P T I O N - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 2 4 4                       0 x F 4                         A R M   i n s t r u c t i o n s ,   f u n c t i o n   p r o l o g u e 4 0 8                       0 x 1 9 8                       A R M   i n s t r u c t i o n s ,   f u n c t i o n   p r o l o g u e 4 4 0                       0 x 1 B 8                       A R M   i n s t r u c t i o n s ,   f u n c t i o n   p r o l o g u e 4 7 2                       0 x 1 D 8                       A R M   i n s t r u c t i o n s ,   f u n c t i o n   p r o l o g u e 6 0 8                       0 x 2 6 0                       A R M   i n s t r u c t i o n s ,   f u n c t i o n   p r o l o g u e b i n w a l k   - A
分 析 固 件 开 头 跳 转 判 断 加 载 地 址 为 0 x 1 0 0 0 。 对 于 V x w o r k s 一 般 判 断 基 址 办 法 有 ： 分 析 固 件 头 部 的 初 始 化 代 码 ， 找 到 v x w o r k s 启 动 的 第 一 个 函 数 u s r I n i t 跳 根 据 B S S 区 初 始 化 特 征 找 到 B S S 边 界 ， 根 据 偏 移 计 算 固 件 加 载 地 址 然 后 根 据 b i n w a l k 指 示 的 位 置 ， 修 复 符 号 表 名 。 函 数 表 存 放 了 函 数
名 和 函 数 地 址 ， 通 过 两 者 定 位 也 可 以 反 过 来 验 证 基 地 址 的 正 确 性 ， 比 如 上 图 所 示 的 0 x 0 0 c 8 1 3 f 8 是 函 数 名 ： 0 x 0 0 9 a a 0 f 4 是 函 数 地 址 ： 由 于 基 地 址 和 架 构 有 关 ， 在 这 里 就 不 详 细 展 开 ， 对 于 v x w o r k s 的 分 析 我 们 可 以 借 助 一 款 能 自 动 化 修 复 入 口 和 符 号 的 插 件 — v x h u n t e r 。 以 G h i d r a 为 例 ， 载 入 固 件 后 直 接 选 择 v x h u n t e r _ f i r m w a r e _ i n i t . p y 插 件 和 v x w o r k s 版 本 ， 就 可 以 自 动 修 复 入 口 和 符 号 ：
1 . 2 . 2 . 2   U - b o o t b o o t 类 的 固 件 也 是 我 们 常 会 遇 见 的 一 类 无 文 件 系 统 固 件 ， 比 如 很 多 I O T 设 备 会 采 用 U - b o o t 作 引 导 ， 因 为 U - b o o t 开 源 ， 我 们 可 以 参 照 源 代 码 分 析 ， 对 于 有 些 架 构 的 U - b o o t 也 可 以 采 用 固 定 套 路 ， 比 如 m i p s 可 以 根 据 $ g p 寄 存 器 等 。 1 . 2 . 2 . 3   C h i p f i r m w a r e 有 些 I O T 固 件 没 有 资 料 ， 逆 向 困 难 ， 比 如 下 面 某 款 A R M 芯 片 的 固 件 ， 将 其 载 入 I D A   p r o 发 现 没 有 识 别 出 任 何 函 数 ： 这 样 我 们 就 需 要 对 固 件 有 一 个 整 体 的 分 析 了 ， 我 们 看 到 固 件 0 x 1 0 0 的 位 置 十 分 有 趣 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理