首页
论坛
课程
招聘
[原创]IoT设备获取本地shell权限并进行软件调试
2022-4-8 17:52 17512

[原创]IoT设备获取本地shell权限并进行软件调试

2022-4-8 17:52
17512

1.简介

笔者近期研究了一些智能家居设备,这些设备开放端口较少,网络侧基本无法获取调试权限。本地获取设备的调试权限,在当前的攻防形态下,就变成了一个重要步骤。本文主要记录通过串口、固件篡改获取本地权限的过程。

如下图所示的设备,位置1flash芯片,位置2为串口调试接口。使用串口线进行串口探测,将主板上的接口一一引出,再使用万用表测试电平,最后判定其串口线序,这一步许多道友都分享了,这里不再赘述。接下来主要介绍记录获取本地shell权限和调试环境的过程。

图 1 设备主板flash和串口位置

2.本地权限获取

本节主要介绍3个步骤,分别是串口探测、读取固件、更改固件。这三个步骤的实验可使设备运行更改后的固件,并成功执行本地shell和telnetd服务。

2.1 串口探测

使用串口线连接到设备后,显示(none)login,需要进行登录。因为不知道密码,暂时无法获取本地root权限。

图 2 本地提示登录

尝试更改uboot启动参数时,uboot设置了密码。

图 3 进图uboot命令行之前提示输入密码

尝试把uboot提取出来后,发现一个密码,但是输入到uboot中,无法登录,暂时没办法短时间内通过uboot启动我们指定的固件。

图 4 uboot逆向后硬编码的某字符串

综上,在串口上直接获取本地权限比较困难,逆向完uboot需要的时间成本较大,决定改flash上的固件获取权限。

2.2 读取固件

硬件上使用Norflash,硬件上处理固件相对容易。本次使用工具如下:

Ø  Xgpro T56编程器

Ø  Putty

Ø  USB转TTL线

Ø  拆焊台

使用编程器将固件读取后,可直接使用binwalk解压到文件系统,进而进行固件的静态分析。

图 5 binwalk输出的固件结构

Binwalk的结构看起来有些识别误差,我们查看F40000附近后,可确定0x440000-0xF40000处为JFFS2文件系统分区(而非0xF400D4)。

图 6 固件0xF40000位置

使用dd命令分割固件,将该区域的文件系统文件使用binwalk解压后,可得到以下文件系统内容。

图 7 JFFS文件系统内容

使用binwalk解压整个固件,可得到根文件系统目录,如下所示:

图 8 根文件系统结构

在根文件系统下搜索”boot.sh”,确定boot.sh会在开机启动。

图 9 开机启动boot.sh

也就是说,JFFS2文件系统作为一个MTD分区被加载到内存后,进行了挂载,并在启动脚本”S90init”中启动。我们只需要更改该脚本,并启动telnetd和串口shell即可。

2.3 更改固件

由以上实验可知,更改boot.sh即可执行本地命令。在boot.sh中增加如下所示内容。

图 10 固件更改内容

 

下面重新打包固件。主要步骤如下:

Ø  将被更改的固件目录重新打包为相同格式的文件系统rootfs.jffs2

Ø  制作全“ff”的文件系统out1024.bin

Ø  将rootfs.jffs2填充到out1024.img中

Ø  将out1024.img填充到原固件中。

分别对应下列命令

图 11 更改固件对应的命令

使用编程器进行固件烧录,这里不再赘述编程器的使用过程。再次启动设备后,发现设备启动了更改后的脚本:

图 12 更改后的固件生效

telnet也连接shell成功:


图 13 连接telnet shell成功

 

3 调试环境

本节介绍两个方面的内容,分别是NFS服务的搭建流程和交叉编译环境的搭建流程,通过这两个流程,我们实现了拓展本地运行存储空间,并建立了软件进程的调试环境。

3.1 NFS服务

本地拿了权限,但是设备没有太多的空间供我们使用,具体如下所示。、

图 14 设备自身空间使用情况

查看/proc/filesystems确认设备具备NFS服务挂载的模块,使用NFS服务外部硬盘到本地执行gdbserver或者tcpdump是一个比较好的选择。

图 15 filesystems文件内容

本地搭建好NFS服务后,让服务主机与设备在一个子网中,可远程挂载NFS服务到本地,解决了本地空间不足的问题。具体如下。

图 16 挂载远程硬盘成功

图 17 挂载远程硬盘拓展容量

3.2 交叉编译环境

3.2.1 确定交叉编译器

全盘搜索“arm-”可得到以下信息,确定交叉编译工具为arm-none-linux-gnueabi-4.4.0_ARMv5TE,具体如下图所示。在网上可找到其下载地址。

图 18 确定交叉编译器

图 19 网上搜索到交叉编译器链接

构建交叉编译环境的过程就是解压、添加PATH到系统中的过程,这里不再赘述,接下来尝试编译gdbserver

 

3.2.2 交叉编译gdbserver

由图 网上搜索到交叉编译器链接 可知,交叉编译器的版本可追溯到20128月份。这里选定2013年左右的gdb-7.6.1进行编译,出错的概率会小些。

Gdb依赖的termcap库不在交叉编译环境中,下载termcap-1.3.1.tar.gz并交叉编译后,将编译生成的libtermcap.a复制到交叉编译环境的lib目录下即可编译gdbserver成功。编译gdbserver的命令如下:

./configure --host=arm-none-linux-gnueabi --target=arm-none-linux-gnueabi CC=arm-none-linux-gnueabi-gcc

这一条命令分别在gdb根目录下和gdb/gdbserver目录下运行,即可生成交叉编译后的gdbgdbserver。将编译后的文件复制到nfs共享目录下:

图 20 复制gdb和gdbserver到共享目录下

图 21 在设备上执行gdbserver和gdb成功

图 22 gdbserver attach进程成功

图 23 建立调试连接

最后建立连接的时候暂时出现了一些问题。看门狗给把进程关掉了,后面的调试还要绕过看门狗,这里不再赘述。

图 24 看门狗kill了调试进程

4.总结

本文通过记录智能家居设备的部分研究过程,向读者分享了嵌入式产品简单的固件分析、固件篡改、调试环境的建立流程。希望对各位读者的安全研究有帮助。

由于现有设备的特殊性,这些方法只是达到阶段目标的可行方式之一。比如烧录固件,也可以通过uboottftp功能烧录,还可以通过uboot加载DIY的固件等等,这些功能比较简单,但归根结底还是向flash中写入数据,并将flash区域中的数据读取到内存空间后进行启动的过程,单独成文的必要性不大,有兴趣的同学可以单独沟通。


看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

最后于 2022-4-8 20:48 被fengzhidian编辑 ,原因: 改了图
收藏
点赞3
打赏
分享
打赏 + 150.00雪花
打赏次数 1 雪花 + 150.00
 
赞赏  Editor   +150.00 2022/05/05 恭喜您获得“雪花”奖励,安全圈有你而精彩!
最新回复 (10)
雪    币: 2324
活跃值: 活跃值 (2554)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
blck四 活跃值 1 2022-4-9 22:19
2
0
LZ 串口接口是uart吗?
雪    币: 2412
活跃值: 活跃值 (1147)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
fengzhidian 活跃值 2 2022-4-10 10:00
3
0
blck四 LZ 串口接口是uart吗?
是,ttl的
雪    币: 609
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
Meet8 活跃值 2022-4-11 08:00
4
0
是树莓派吗
雪    币: 328
活跃值: 活跃值 (553)
能力值: ( LV2,RANK:15 )
在线值:
发帖
回帖
粉丝
夏天呀 活跃值 2022-4-11 09:25
5
0
修改完固件以后telnet进入系统了,可以用彩虹表跑出来密码,再使用串口登录可行么
雪    币: 2412
活跃值: 活跃值 (1147)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
fengzhidian 活跃值 2 2022-4-11 09:58
6
0
Meet8 是树莓派吗
IoT产品
雪    币: 2412
活跃值: 活跃值 (1147)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
fengzhidian 活跃值 2 2022-4-11 09:59
7
0
夏天呀 修改完固件以后telnet进入系统了,可以用彩虹表跑出来密码,再使用串口登录可行么
没试过,都能改固件了,把passwd和shadow改自己的也能登录进去
雪    币: 9484
活跃值: 活跃值 (9069)
能力值: ( LV12,RANK:240 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2 2022-4-11 14:45
8
0
我有个设备,固件都改好了,也刷进flash了,但是就是一直卡在固件校验的步骤(不是CRC校验),进不去文件系统,好几个月了,我都放弃了……
雪    币: 2412
活跃值: 活跃值 (1147)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
fengzhidian 活跃值 2 2022-4-11 14:51
9
0
pureGavin 我有个设备,固件都改好了,也刷进flash了,但是就是一直卡在固件校验的步骤(不是CRC校验),进不去文件系统,好几个月了,我都放弃了……
寄过来看看
雪    币: 9484
活跃值: 活跃值 (9069)
能力值: ( LV12,RANK:240 )
在线值:
发帖
回帖
粉丝
pureGavin 活跃值 2 2022-4-13 15:14
10
0
fengzhidian 寄过来看看[em_78]
淦,公司的设备,不敢乱寄,设备是水星的X18G,固件是最新的1.0.7
雪    币: 2412
活跃值: 活跃值 (1147)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝