tenda ac6路由器為例講解硬件安全分析流程

前面的物聯(lián)網(wǎng)安全文章中，我們通過網(wǎng)絡(luò)靶場將下載好的設(shè)備固件進(jìn)行運(yùn)行，進(jìn)行了漏洞分析和漏洞復(fù)現(xiàn)，并且學(xué)習(xí)了一些漏洞分析的思路和方法。但是在實(shí)際應(yīng)用中固件的獲取和固件調(diào)試往往并不順利，如果我們想要更廣泛的挖掘設(shè)備的漏洞，就需要通過實(shí)體設(shè)備的硬件分析技術(shù)來幫助我們進(jìn)行固件提取和調(diào)試分析。本次小節(jié)以tenda ac6路由器為例，簡單講解硬件安全分析流程，并完成了固件提取和終端獲取的目標(biāo)。

本次小節(jié)中需要用到的工具：tenda路由器、電烙鐵、焊錫絲、ttl轉(zhuǎn)usb、杜邦線、編程器、編程器燒錄夾

硬件分析

在某寶幾十億淘了一個(gè)tenda ac6雙頻路由器，路由器背面的信息如下圖所示：

接下來，我們就需要暴力拆取路由器了，用細(xì)平堅(jiān)硬的工具沿著路由器外殼的縫隙慢慢撬開就可以了。拆開后的路由器板子如下：

簡單了解一下設(shè)備中的芯片信息，這里路由器的主要ram芯片是64M的ddr2雙通道M14D5121632A芯片。

5G芯片博通BCM43217，主芯片由散熱片覆蓋，可以在分析調(diào)試完以后再拆散熱片。

rom是華邦的25qjvssiq芯片，設(shè)備的固件存在于該芯片中，也是我們主要研究的芯片，這里可以通過編程器來提取其中的固件。

一般在物聯(lián)網(wǎng)設(shè)備中，有四個(gè)緊挨著的孔就是uart接口，這里在pcb板的左下角，我們可以看到有4個(gè)孔，所以這很可能是個(gè)uart接口。uart接口是開發(fā)者為了方便調(diào)試所預(yù)留的，開發(fā)者可以通過uart接口進(jìn)入路由器終端，隨時(shí)掌握路由器的運(yùn)行狀態(tài)，大部分設(shè)備的uart引腳都會(huì)引出來到pcb板中。uart協(xié)議規(guī)定有6個(gè)引腳，但是有倆個(gè)沒有用到，所以平常見到的是4個(gè)引腳，這四個(gè)引腳分別是VCC、TXD、RXD、GND。VCC：電源線引腳，電源一般為3.3v或5vTXD：傳輸引腳，一般連接到RX用于發(fā)送數(shù)據(jù)RXD：接收引腳，一般連接到TX用于接收數(shù)據(jù)GND：接地引腳

uart的連接方式如下圖所示：

既然uart接口可以用來調(diào)試，那么我們通過一些方法來識(shí)別出上面的四個(gè)引腳，按照規(guī)定的連接方式連接我們的電腦，就可以進(jìn)入物聯(lián)網(wǎng)設(shè)備終端來進(jìn)行安全測試了。下圖中，標(biāo)出了1，2，3，4四個(gè)引腳，暫時(shí)我們還不知道這四個(gè)接口都是哪些引腳，不過可以通過萬用表和邏輯分析儀等工具進(jìn)行辨別。

在用萬用表分析之前，我們可以通過平行光照射四個(gè)引腳的方式進(jìn)行粗略辨別。在平行光的照射下，接口1，2，3都顯露出缺口(接口2缺口在2點(diǎn)鐘方向，接口3缺口在12點(diǎn)鐘方向)，說明有線路的連接，而且接口1缺口較大，猜測連接線路眾多，可能是VCC/GND，結(jié)合方形標(biāo)識(shí)可以斷定接口1肯定為VCC。而接口4無亮光，說明線路連接四面八方的線路或平面，很可能是GND。簡單分析后，我們開始用萬用表進(jìn)行測試。

萬用表打到蜂鳴檔，表筆一端連接電源接口負(fù)極，一端連接4接口，此時(shí)蜂鳴檔響起，說明4接口確實(shí)是GND。然后萬用表打到電壓檔(電壓檔一般在10V左右)，分別測量1，2，3，分別顯示3.3v、2.9v、3.3v。1，3接口可能為VCC，當(dāng)我們使用杜邦線短接1，4引腳后，路由器重啟，說明1接口為VCC。在VCC和GND辨別后，Tx和Rx的辨別就比較簡單了，我們可以用ttl轉(zhuǎn)usb工具連接電腦，電腦端連接GND和RX，路由器端GND互連，然后分別插入2，3接口測試，觀察屏幕上有沒有輸出，如果有說明該接口為Tx接口,另一個(gè)接口為Rx。還有一種方式為，Tx接口在路由器連接狀態(tài)下未連接，電壓會(huì)進(jìn)行浮動(dòng)。再次用萬用表進(jìn)行測試，發(fā)現(xiàn)接口電壓無變化，接口3電壓浮動(dòng)，說明接口3為Tx，接口2為Rx。

用電烙鐵將杜邦線的公頭錫焊在引腳后，母頭與uart轉(zhuǎn)usb工具進(jìn)行連接(需注意Tx與Rx的連接)。連接好以后，我們就可以在電腦打開終端模擬軟件(Xshell、secureCRT、MBXterm等)，這里我用secureCRT進(jìn)行連接，在沒有設(shè)置波特率前，屏幕輸出為亂碼。我們需要正常調(diào)整波特率，在沒有邏輯分析儀的情況下，我們只能按照常用的波特率一一進(jìn)行嘗試。經(jīng)過幾個(gè)測試后發(fā)現(xiàn)為115200波特率時(shí)可以正常顯示。

重啟路由器，字符顯示正常，并且boot啟動(dòng)過程中沒有預(yù)留進(jìn)入boot的方式。

隨后啟動(dòng)完成后，輸入回車，發(fā)現(xiàn)想要進(jìn)入路由器終端還要輸入密碼，經(jīng)過幾次嘗試后，發(fā)現(xiàn)都登錄錯(cuò)誤。這里思路之一為使用編程器提取該設(shè)備的固件，通過在固件程序和文件中分析啟動(dòng)流程，看看是否有硬編碼后門或其他后門等。另一種便是改用其他調(diào)試方式，技術(shù)難度較高，這里我們采用第一種方式進(jìn)行分析。

這里我使用RT-809H編程器進(jìn)行提取，使用編程器夾夾住flash芯片(需注意紅線連接芯片1接口處)。

電腦打開編程器軟件點(diǎn)擊智能識(shí)別后識(shí)別出芯片型號(hào)，點(diǎn)擊保存即可保證整個(gè)設(shè)備的固件。

使用binwalk進(jìn)行分析，分析出了squashfs文件系統(tǒng)，直接使用"binwalk -Me 固件名"進(jìn)行提取。

grep搜索終端中顯示讓我們輸入密碼的字符串，發(fā)現(xiàn)字符串在busybox和init程序中出現(xiàn)了。并且init是busybox程序的軟連接，那么我們直接逆向分析busybox。

在IDA字符串窗口搜索顯示的字符串后，通過交叉使用進(jìn)入sub_F798函數(shù)中，分析該函數(shù)后發(fā)現(xiàn)大致流程如下：當(dāng)前程序檢測是否是tty后，然后進(jìn)入sub_4E8CC函數(shù)獲取當(dāng)前用戶的uid，并設(shè)置環(huán)境env。隨后根據(jù)當(dāng)前用戶(當(dāng)前用戶為root)的uid獲取當(dāng)前用戶的passwd結(jié)構(gòu)(里面包含當(dāng)前用戶的密碼)，并保存到了v6變量中。隨后進(jìn)入while循環(huán)，循環(huán)顯示"Give root password for system maintenance (or type Control-D for normal startup):"并修改串口輸入輸出設(shè)置和信號(hào)設(shè)置，獲取用戶輸入的字符串，保存在v7中，判斷v7和地址中的字符串是否為空，不為空則進(jìn)入sub_50974函數(shù)進(jìn)行加鹽加密，返回值保存到v10中。隨后v10與當(dāng)前用戶的密碼進(jìn)行比對，如果正確且輸入字符串不為空則設(shè)置"subshell"為env隨后切換至終端。

sub_4E8CC函數(shù)獲取當(dāng)前用戶的uid，判斷是否為有效用戶id，然后unset掉所有的ENV，并設(shè)置env為"PATH=/sbin:/usr/sbin:/bin:/usr/bin"

在sub_49D04中，調(diào)用tcgetattr獲得標(biāo)準(zhǔn)輸入的終端參數(shù)，將獲得的信息保存在v13變量中，隨后設(shè)置好串口的信息并使用tcsetattr函數(shù)將修改后的終端參數(shù)設(shè)置到標(biāo)準(zhǔn)輸入中。設(shè)置程序中止信號(hào)，隨后將"Give root password for system maintenance (or type Control-D for normal startup):"字符輸入到屏幕。隨后調(diào)用malloc申請堆塊循環(huán)保存用戶輸入數(shù)據(jù)。檢測到回車后中斷，最后修改信號(hào)后返回堆塊地址。

執(zhí)行返回sub_F798函數(shù)后，判斷用戶輸入數(shù)據(jù)是否為空，然后進(jìn)入sub_50974函數(shù)調(diào)用crypt函數(shù)，將"/etc/passwd"里面的密碼作為salt并進(jìn)行加密，返回結(jié)果保存到v10，最后比較當(dāng)前用戶的密碼是否加密后的用戶輸入相同，如果怎么執(zhí)行shell。

了解了程序執(zhí)行流程后，我們?nèi)tc目錄下查看當(dāng)前用戶的密碼(為root用戶)

解密root用戶密碼后發(fā)現(xiàn)相同，解密后的密碼為Fireitup。

輸入密碼后，即可進(jìn)入終端?？梢圆榭粗С质褂玫拿睿l(fā)現(xiàn)tftp和wget程序，后續(xù)我們可以傳入busybox和gdbserver進(jìn)行動(dòng)態(tài)調(diào)試。

當(dāng)上面的流程都完成后，我們就可以愉快的進(jìn)行設(shè)備調(diào)試和漏洞挖掘了。

總結(jié)

本次小節(jié)，主要以硬件安全學(xué)習(xí)為目標(biāo)，主要講述了物聯(lián)網(wǎng)硬件設(shè)備的分析流程，通過實(shí)踐與拓展，我們可以掌握硬件方向的固件提取和調(diào)試終端獲得。

編輯：黃飛

?