अन्वेषण लिंक WRT120N फ़र्मवेयर ऑब्सफ़ेशन

हाल ही में, मेरा ध्यान इस तथ्य पर गया था कि Linksys WRT120N के लिए फर्मवेयर अपडेट में वे किसी न किसी तरह के ओब्यूशन का उपयोग करते हैं। मुझे ऐसा लग रहा था कि इसमें खुदाई करना दिलचस्प होगा, और मैंने एक नज़र रखने का फैसला किया।

नवीनतम फर्मवेयर संस्करण फर्मवेयर की तरह नहीं दिखता है जिसके साथ आप तुरंत काम कर सकते हैं


जैसा कि आप देख सकते हैं, LZMA द्वारा संपीड़ित डेटा का एक छोटा सा ब्लॉक है - ये राउटर के वेब इंटरफेस के लिए सिर्फ HTML फाइलें हैं। अधिकांश फर्मवेयर में कुछ अजीब, यादृच्छिक डेटा होते हैं। क्योंकि मैं उसके साथ कुछ और नहीं कर सकता, और मेरी जिज्ञासा मुझे और अधिक दूर करने की कोशिश कर रही थी, मैंने अपने लिए एक राउटर का यह मॉडल खरीदा (कैसे उन्होंने अमेज़ॅन प्राइम लागत में वृद्धि की!)।

लोहे का विश्लेषण

हार्डवेयर पर पहली नज़र में, यह स्पष्ट हो गया कि WRT120N एथेरोस AR7240 SoC पर चलता है, इसमें 2MB SPI फ्लैश, 32MB RAM और कुछ सीरियल और JTAG वायरिंग के समान है:


बूट प्रक्रिया पर गहराई से विचार करने के लिए, मैंने सीरियल पोर्ट के साथ शुरुआत करने का फैसला किया।


मैंने पहले ही सीरियल पोर्ट के बारे में बात की है , इसलिए मैं इस लेख में पिन और गति खोजने के तरीकों पर ध्यान केंद्रित नहीं करूंगा। मल्टीमीटर और बोर्ड के दृश्य निरीक्षण का उपयोग करके पोर्ट पिनों को खोजना आसान था:

Pin 2 – RX Pin 3 – TX Pin 5 – Ground 

पोर्ट 115200 बॉड में चलता है और दिलचस्प बूट जानकारी प्रदान करता है:

 $ sudo miniterm.py /dev/ttyUSB0 115200 --- Miniterm on /dev/ttyUSB0: 115200,8,N,1 --- --- Quit: Ctrl+] | Menu: Ctrl+T | Help: Ctrl+T followed by Ctrl+H --- ======================================================================= Wireless Router WG7005G11-LF-88 Loader v0.03 build Feb 5 2009 15:59:08 Arcadyan Technology Corporation ======================================================================= flash MX25L1605D found. Copying boot params.....DONE Press Space Bar 3 times to enter command mode ... Flash Checking Passed. Unzipping firmware at 0x80002000 ... [ZIP 3] [ZIP 1] done In c_entry() function ... install_exception install exception handler ... install interrupt handler ... ulVal: 0x484fb Set GPIO #11 to OUTPUT Set GPIO #1 to OUTPUT Set GPIO #0 to OUTPUT Set GPIO #6 to INPUT Set GPIO #12 to INPUT Timer 0 is requested ##### _ftext = 0x80002000 ##### _fdata = 0x80447420 ##### __bss_start = 0x804D5B04 ##### end = 0x81869518 ##### Backup Data from 0x80447420 to 0x81871518~0x818FFBFC len 583396 ##### Backup Data completed ##### Backup Data verified [INIT] HardwareStartup .. [INIT] System Log Pool startup ... [INIT] MTinitialize .. CPU Clock 350000000 Hz init_US_counter : time1 = 270713 , time2 = 40272580, diff 40001867 US_counter = 70 cnt1 41254774 cnt2 41256561, diff 1787 Runtime code version: v1.0.04 System startup... [INIT] Memory COLOR 0, 1600000 bytes .. [INIT] Memory COLOR 1, 1048576 bytes .. [INIT] Memory COLOR 2, 2089200 bytes .. [INIT] tcpip_startup .. Data size: 1248266 e89754967e337d9f35e8290e231c9f92 Set flash memory layout to Boot Parameters found !!! Bootcode version: v0.03 Serial number: JUT00L602233 Hardware version: 01A ... 

ऐसा लगता है कि फ़र्मवेयर अर्काड्यान द्वारा बनाया गया था, ' अनज़िपिंग फ़र्मवेयर ...' संदेश विशेष रूप से दिलचस्प था, एक त्वरित गूगल ने मुझे अर्काड्यान से डे-फ़्लॉवरिंग फ़र्मवेयर के बारे में एक पोस्ट करने के लिए प्रेरित किया, लेकिन यहां ऐसा लगता है कि थोड़ा अलग तरीके का उपयोग किया जाता है।

सीरियल पोर्ट के माध्यम से, आप केवल बूटलोडर मेनू का उपयोग कर सकते हैं। बूट के दौरान, आप स्पेस बार को तीन बार दबाकर उसमें चढ़ सकते हैं और कुछ क्रियाएं कर सकते हैं, जैसे कि फ्लैश को साफ़ करना और बोर्ड सेट करना:

 Press Space Bar 3 times to enter command mode ...123 Yes, Enter command mode ... [WG7005G11-LF-88 Boot]:? ====================== [U] Upload to Flash [E] Erase Flash [G] Run Runtime Code [A] Set MAC Address [#] Set Serial Number [V] Set Board Version [H] Set Options [P] Print Boot Params [I] Load ART From TFTP [1] Set SKU Number [2] Set PIN Number ====================== 

दुर्भाग्य से, बूटलोडर ने रैम या फ्लैश की सामग्री को डंप करने की अनुमति नहीं दी। हालांकि बोर्ड पर एक JTAG वायरिंग है, मैंने फ्लैश को सीधे डंप करने का फैसला किया, क्योंकि JTAG डंप प्रक्रिया आमतौर पर तेज़ नहीं होती है, और SPI कनेक्शन बहुत सरल है।

संभवतः कोई भी उपकरण जो SPI प्रोटोकॉल का समर्थन करता है, फ्लैश पढ़ सकता है। मैंने libmpsse से FTDI C232HM केबल और spiflash.py प्रोग्राम का उपयोग किया

 $ sudo spiflash --read=flash.bin --size=$((0x200000)) --verify FT232H Future Technology Devices International, Ltd initialized at 15000000 hertz Reading 2097152 bytes starting at address 0x0...saved to flash.bin. Verifying...success. 

एक फ्लैश में तीन LZMA ब्लॉक और MIPS कोड की एक छोटी राशि होती है, लेकिन फर्मवेयर स्वयं अभी भी अच्छा नहीं है:


पहले दो LZMA ब्लॉक रिकवरी इमेज का हिस्सा हैं, और MIPS कोड स्वयं बूटलोडर है। ज़ीरोस और अंत में कुछ डेटा को छोड़कर, शेष स्थान को ओफ़्फ़ुसेटेड फ़र्मवेयर फ़ाइल द्वारा कब्जा कर लिया गया है।

बूटलोडर विश्लेषण

बूटलोडर, फर्मवेयर को डिक्रिप्ट करने और मेमोरी में एक पते पर लोड करने के अलावा, कुछ दिलचस्प चीजें शामिल हैं। मैं उबाऊ चीजों को याद करूंगा, जैसे मैं बूट लोडर पते की तलाश कर रहा था, मैन्युअल रूप से मानक सी लाइब्रेरी के कार्यों को निर्धारित किया, जेयूएमपी की ऑफसेट तालिका पाई, आदि, और तुरंत मैं दिलचस्प एक की ओर मुड़ जाएगा।

सबसे पहले, शुरुआती बूट चरण में, बूटलोडर यह देखने के लिए जांचता है कि क्या रीसेट बटन दबाया गया है। यदि इसे क्लिक किया जाता है, तो यह "Tiny_ETCPIP_Kernel" छवि को डाउनलोड करता है - वेब इंटरफ़ेस के साथ एक छोटी रिकवरी छवि।


यह अच्छी खबर है। अब हम जानते हैं कि फर्मवेयर अपडेट प्रक्रिया के दौरान अगर कुछ गलत होता है, तो हम रीसेट को दबा सकते हैं और डिवाइस को पुनर्जीवित कर सकते हैं।
और बूटलोडर मेनू में एक छिपा हुआ व्यवस्थापक मोड भी है:


दबाने "!" व्यवस्थापक मोड को शामिल करने की ओर ले जाएगा, जो कुछ विकल्पों को अनलॉक करता है, जिसमें पढ़ने और लिखने के लिए मेमोरी शामिल है।

 [WG7005G11-LF-88 Boot]:! Enter Administrator Mode ! ====================== [U] Upload to Flash [E] Erase Flash [G] Run Runtime Code [M] Upload to Memory [R] Read from Memory [W] Write to Memory [Y] Go to Memory [A] Set MAC Address [#] Set Serial Number [V] Set Board Version [H] Set Options [P] Print Boot Params [I] Load ART From TFTP [1] Set SKU Number [2] Set PIN Number ====================== [WG7005G11-LF-88 Boot]: 

बूटलोडर का सबसे दिलचस्प हिस्सा, निश्चित रूप से, वह है जो obfuscated फर्मवेयर को मेमोरी में लोड करता है।

ओबसफिकेशन एनालिसिस

Deobfuscation को load_os फ़ंक्शन में किया जाता है, जो एक पॉइंटर को ओफ़्फ़ुसेटेड छवि और उस पते को पास करता है जहां अनपैक्ड छवि रखी जानी चाहिए:

खुद को खोलना बहुत जटिल नहीं है:


सामान्य तौर पर, यदि फर्मवेयर 04 01 09 20 से शुरू होता है (और हमारी शुरुआत इन बाइट्स से होती है), तो डिक्रिप्शन एल्गोरिथ्म को निष्पादित किया जाता है, जो:

• दो 32-बाइट डेटा ब्लॉक 0 × 04 और 0 × 68 पते पर पुन: व्यवस्थित करता है
• पहले 32 बाइट्स के लिए 4 बिट्स स्वैप, 0 × 04 से शुरू
• बाइट बाइट्स को 32 बाइट्स 0 × 04 से शुरू करें

इस सब के बाद, 0 × 04 के डेटा में सही LZMA हेडर होता है, जिसे बाद में विस्तारित किया जाता है।

डोबफ्यूशन उपयोगिता को लागू करना आसान था, और WRT120N फर्मवेयर को अब अनपैक और अनजिप किया जा सकता है।

 $ ./wrt120n ./firmware/FW_WRT120N_1.0.07.002_US.bin ./deobfuscated.bin Doing block swap... Doing nibble-swap... Doing byte-swap... Saving data to ./deobfuscated.bin... Done! 

अनपैक्ड लेकिन विघटित फर्मवेयर का विश्लेषण नहीं

अगर किसी को दिलचस्पी है, तो आप अनपैकिंग उपयोगिता डाउनलोड कर सकते हैं।