tenda ac6路由器為例講解硬件安全分析流程

前面的物聯(lián)網(wǎng)安全文章中，我們通過網(wǎng)絡靶場將下載好的設備固件進行運行，進行了漏洞分析和漏洞復現(xiàn)，并且學習了一些漏洞分析的思路和方法。但是在實際應用中固件的獲取和固件調試往往并不順利，如果我們想要更廣泛的挖掘設備的漏洞，就需要通過實體設備的硬件分析技術來幫助我們進行固件提取和調試分析。本次小節(jié)以tenda ac6路由器為例，簡單講解硬件安全分析流程，并完成了固件提取和終端獲取的目標。

本次小節(jié)中需要用到的工具：tenda路由器、電烙鐵、焊錫絲、ttl轉usb、杜邦線、編程器、編程器燒錄夾

硬件分析

在某寶幾十億淘了一個tenda ac6雙頻路由器，路由器背面的信息如下圖所示：

接下來，我們就需要暴力拆取路由器了，用細平堅硬的工具沿著路由器外殼的縫隙慢慢撬開就可以了。拆開后的路由器板子如下：

簡單了解一下設備中的芯片信息，這里路由器的主要ram芯片是64M的ddr2雙通道M14D5121632A芯片。

5G芯片博通BCM43217，主芯片由散熱片覆蓋，可以在分析調試完以后再拆散熱片。

rom是華邦的25qjvssiq芯片，設備的固件存在于該芯片中，也是我們主要研究的芯片，這里可以通過編程器來提取其中的固件。

一般在物聯(lián)網(wǎng)設備中，有四個緊挨著的孔就是uart 接口，這里在pcb板的左下角，我們可以看到有4個孔，所以這很可能是個uart接口。uart接口是開發(fā)者為了方便調試所預留的，開發(fā)者可以通過uart接口進入路由器終端，隨時掌握路由器的運行狀態(tài)，大部分設備的uart引腳都會引出來到pcb板中。uart協(xié)議規(guī)定有6個引腳，但是有倆個沒有用到，所以平常見到的是4個引腳，這四個引腳分別是VCC、TXD、RXD、GND。VCC：電源線引腳，電源一般為3.3v或5vTXD：傳輸引腳，一般連接到RX用于發(fā)送數(shù)據(jù)RXD：接收引腳，一般連接到TX用于接收數(shù)據(jù)GND：接地引腳

uart的連接方式如下圖所示：

既然uart接口可以用來調試，那么我們通過一些方法來識別出上面的四個引腳，按照規(guī)定的連接方式連接我們的電腦，就可以進入物聯(lián)網(wǎng)設備終端來進行安全測試了。下圖中，標出了1，2，3，4四個引腳，暫時我們還不知道這四個接口都是哪些引腳，不過可以通過萬用表和邏輯分析儀等工具進行辨別。

在用萬用表分析之前，我們可以通過平行光照射四個引腳的方式進行粗略辨別。在平行光的照射下，接口1，2，3都顯露出缺口(接口2缺口在2點鐘方向，接口3缺口在12點鐘方向)，說明有線路的連接，而且接口1缺口較大，猜測連接線路眾多，可能是VCC/GND，結合方形標識可以斷定接口1肯定為VCC。而接口4無亮光，說明線路連接四面八方的線路或平面，很可能是GND。簡單分析后，我們開始用萬用表進行測試。

萬用表打到蜂鳴檔，表筆一端連接電源接口負極，一端連接4接口，此時蜂鳴檔響起，說明4接口確實是GND。然后萬用表打到電壓檔(電壓檔一般在10V左右)，分別測量1，2，3，分別顯示3.3v、2.9v、3.3v。1，3接口可能為VCC，當我們使用杜邦線短接1，4引腳后，路由器重啟，說明1接口為VCC。在VCC和GND辨別后，Tx和Rx的辨別就比較簡單了，我們可以用ttl轉usb工具連接電腦，電腦端連接GND和RX，路由器端GND互連，然后分別插入2，3接口測試，觀察屏幕上有沒有輸出，如果有說明該接口為Tx接口,另一個接口為Rx。還有一種方式為，Tx接口在路由器連接狀態(tài)下未連接，電壓會進行浮動。再次用萬用表進行測試，發(fā)現(xiàn)接口電壓無變化，接口3電壓浮動，說明接口3為Tx，接口2為Rx。

用電烙鐵將杜邦線的公頭錫焊在引腳后，母頭與uart轉usb工具進行連接(需注意Tx與Rx的連接)。連接好以后，我們就可以在電腦打開終端模擬軟件(Xshell、secureCRT、MBXterm等)，這里我用secureCRT進行連接，在沒有設置波特率前，屏幕輸出為亂碼。我們需要正常調整波特率，在沒有邏輯分析儀的情況下，我們只能按照常用的波特率一一進行嘗試。經過幾個測試后發(fā)現(xiàn)為115200波特率時可以正常顯示。

重啟路由器，字符顯示正常，并且boot啟動過程中沒有預留進入boot的方式。

隨后啟動完成后，輸入回車，發(fā)現(xiàn)想要進入路由器終端還要輸入密碼，經過幾次嘗試后，發(fā)現(xiàn)都登錄錯誤。這里思路之一為使用編程器提取該設備的固件，通過在固件程序和文件中分析啟動流程，看看是否有硬編碼后門或其他后門等。另一種便是改用其他調試方式，技術難度較高，這里我們采用第一種方式進行分析。

這里我使用RT-809H編程器進行提取，使用編程器夾夾住flash芯片(需注意紅線連接芯片1接口處)。

電腦打開編程器軟件點擊智能識別后識別出芯片型號，點擊保存即可保證整個設備的固件。

使用binwalk進行分析，分析出了squashfs文件系統(tǒng)，直接使用"binwalk -Me 固件名"進行提取。

grep搜索終端中顯示讓我們輸入密碼的字符串，發(fā)現(xiàn)字符串在busybox和init程序中出現(xiàn)了。并且init是busybox程序的軟連接，那么我們直接逆向分析busybox。

在IDA字符串窗口搜索顯示的字符串后，通過交叉使用進入sub_F798函數(shù)中，分析該函數(shù)后發(fā)現(xiàn)大致流程如下：當前程序檢測是否是tty后，然后進入sub_4E8CC函數(shù)獲取當前用戶的uid，并設置環(huán)境env。隨后根據(jù)當前用戶(當前用戶為root)的uid獲取當前用戶的passwd結構(里面包含當前用戶的密碼)，并保存到了v6變量中。隨后進入while循環(huán)，循環(huán)顯示"Give root password for system maintenance (or type Control-D for normal startup):"并修改串口輸入輸出設置和信號設置，獲取用戶輸入的字符串，保存在v7中，判斷v7和地址中的字符串是否為空，不為空則進入sub_50974函數(shù)進行加鹽加密，返回值保存到v10中。隨后v10與當前用戶的密碼進行比對，如果正確且輸入字符串不為空則設置"subshell"為env隨后切換至終端。

sub_4E8CC函數(shù)獲取當前用戶的uid，判斷是否為有效用戶id，然后unset掉所有的ENV，并設置env為"PATH=/sbin:/usr/sbin:/bin:/usr/bin"

在sub_49D04中，調用tcgetattr獲得標準輸入的終端參數(shù)，將獲得的信息保存在v13變量中，隨后設置好串口的信息并使用tcsetattr函數(shù)將修改后的終端參數(shù)設置到標準輸入中。設置程序中止信號，隨后將"Give root password for system maintenance (or type Control-D for normal startup):"字符輸入到屏幕。隨后調用malloc申請堆塊循環(huán)保存用戶輸入數(shù)據(jù)。檢測到回車后中斷，最后修改信號后返回堆塊地址。

執(zhí)行返回sub_F798函數(shù)后，判斷用戶輸入數(shù)據(jù)是否為空，然后進入sub_50974函數(shù)調用crypt函數(shù)，將"/etc/passwd"里面的密碼作為salt并進行加密，返回結果保存到v10，最后比較當前用戶的密碼是否加密后的用戶輸入相同，如果怎么執(zhí)行shell。