Hai uns días, decidín facer enxeñería inversa do firmware do meu enrutador usando binwalk.
Merqueime . Non é o mellor enrutador, pero o suficiente para as miñas necesidades.
Cada vez que compro un enrutador novo, instállo . Para qué? Por regra xeral, aos fabricantes non lles importa moito dar soporte aos seus enrutadores e co paso do tempo o software queda obsoleto, aparecen vulnerabilidades, etc., en xeral, tes a idea. Polo tanto, prefiro o firmware OpenWRT, que está ben apoiado pola comunidade de código aberto.
Despois de descargar OpenWRT, eu tamén baixo o meu novo Archer C7 do sitio web oficial e decidín analizalo. Só por diversión e falar sobre binwalk.
Que é binwalk?
é unha ferramenta de código aberto para análise, enxeñería inversa e extracción de imaxes de firmware.
Creado en 2010 por Craig Heffner, binwalk pode escanear imaxes de firmware e atopar ficheiros, identificar e extraer imaxes do sistema de ficheiros, código executable, arquivos comprimidos, cargadores de arranque e núcleos, formatos de ficheiros como JPEG e PDF, e moito máis.
Podes usar binwalk para realizar enxeñaría inversa do firmware para entender como funciona. Busca vulnerabilidades en ficheiros binarios, extrae ficheiros e busca portas traseiras ou certificados dixitais. Tamén podes atopar opcodes para un montón de CPUs diferentes.
Pode extraer imaxes do sistema de ficheiros para buscar ficheiros de contrasinais específicos (passwd, shadow, etc.) e tentar romper os hash de contrasinais. Pode realizar análise binaria entre dous ou máis ficheiros. Podes realizar análises de entropía nos datos para atopar datos comprimidos ou claves de cifrado codificadas. Todo isto sen necesidade de acceder ao código fonte.
En xeral, todo o que necesitas está alí :)
Como funciona o binwalk?
A principal característica de binwalk é a súa dixitalización de sinaturas. Binwalk pode escanear a imaxe do firmware para buscar varios tipos de ficheiros e sistemas de ficheiros integrados.
Coñeces a utilidade da liña de comandos file?
file /bin/bash
/bin/bash: ELF 64-bit LSB shared object, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/l, for GNU/Linux 3.2.0, BuildID[sha1]=12f73d7a8e226c663034529c8dd20efec22dde54, strippedEquipo filemira a cabeceira do ficheiro e busca unha sinatura (número máxico) para determinar o tipo de ficheiro. Por exemplo, se o ficheiro comeza coa secuencia de bytes 0x89 0x50 0x4E 0x47 0x0D 0x0A 0x1A 0x0A, sabe que é un ficheiro PNG. Activado Hai unha lista de sinaturas de ficheiros comúns.
Binwalk funciona do mesmo xeito. Pero en lugar de buscar sinaturas só ao comezo do ficheiro, binwalk analizará todo o ficheiro. Ademais, binwalk pode extraer ficheiros que se atopan na imaxe.
Ferramentas file и binwalk utilizar a biblioteca libmagic para identificar sinaturas de ficheiros. Pero binwalk Ademais, admite unha lista de sinaturas máxicas personalizadas para buscar ficheiros comprimidos/zipped, cabeceiras de firmware, núcleos de Linux, cargadores de arranque, sistemas de ficheiros, etc.
Imos divertirnos un pouco?
Instalación de Binwalk
Binwalk é compatible con varias plataformas, incluíndo Linux, OSX, FreeBSD e Windows.
Para instalar a última versión de binwalk podes e segue ou , dispoñible na páxina web do proxecto.
Binwalk ten moitos parámetros diferentes:
$ binwalk
Binwalk v2.2.0
Craig Heffner, ReFirmLabs
https://github.com/ReFirmLabs/binwalk
Usage: binwalk [OPTIONS] [FILE1] [FILE2] [FILE3] ...
Signature Scan Options:
-B, --signature Scan target file(s) for common file signatures
-R, --raw=<str> Scan target file(s) for the specified sequence of bytes
-A, --opcodes Scan target file(s) for common executable opcode signatures
-m, --magic=<file> Specify a custom magic file to use
-b, --dumb Disable smart signature keywords
-I, --invalid Show results marked as invalid
-x, --exclude=<str> Exclude results that match <str>
-y, --include=<str> Only show results that match <str>
Extraction Options:
-e, --extract Automatically extract known file types
-D, --dd=<type:ext:cmd> Extract <type> signatures, give the files an extension of <ext>, and execute <cmd>
-M, --matryoshka Recursively scan extracted files
-d, --depth=<int> Limit matryoshka recursion depth (default: 8 levels deep)
-C, --directory=<str> Extract files/folders to a custom directory (default: current working directory)
-j, --size=<int> Limit the size of each extracted file
-n, --count=<int> Limit the number of extracted files
-r, --rm Delete carved files after extraction
-z, --carve Carve data from files, but don't execute extraction utilities
-V, --subdirs Extract into sub-directories named by the offset
Entropy Options:
-E, --entropy Calculate file entropy
-F, --fast Use faster, but less detailed, entropy analysis
-J, --save Save plot as a PNG
-Q, --nlegend Omit the legend from the entropy plot graph
-N, --nplot Do not generate an entropy plot graph
-H, --high=<float> Set the rising edge entropy trigger threshold (default: 0.95)
-L, --low=<float> Set the falling edge entropy trigger threshold (default: 0.85)
Binary Diffing Options:
-W, --hexdump Perform a hexdump / diff of a file or files
-G, --green Only show lines containing bytes that are the same among all files
-i, --red Only show lines containing bytes that are different among all files
-U, --blue Only show lines containing bytes that are different among some files
-u, --similar Only display lines that are the same between all files
-w, --terse Diff all files, but only display a hex dump of the first file
Raw Compression Options:
-X, --deflate Scan for raw deflate compression streams
-Z, --lzma Scan for raw LZMA compression streams
-P, --partial Perform a superficial, but faster, scan
-S, --stop Stop after the first result
General Options:
-l, --length=<int> Number of bytes to scan
-o, --offset=<int> Start scan at this file offset
-O, --base=<int> Add a base address to all printed offsets
-K, --block=<int> Set file block size
-g, --swap=<int> Reverse every n bytes before scanning
-f, --log=<file> Log results to file
-c, --csv Log results to file in CSV format
-t, --term Format output to fit the terminal window
-q, --quiet Suppress output to stdout
-v, --verbose Enable verbose output
-h, --help Show help output
-a, --finclude=<str> Only scan files whose names match this regex
-p, --fexclude=<str> Do not scan files whose names match this regex
-s, --status=<int> Enable the status server on the specified portEscaneado de imaxes
Comecemos buscando sinaturas de ficheiros dentro da imaxe (imaxe do sitio ).
Execución de binwalk co parámetro --signature:
$ binwalk --signature --term archer-c7.bin
DECIMAL HEXADECIMAL DESCRIPTION
------------------------------------------------------------------------------------------
21876 0x5574 U-Boot version string, "U-Boot 1.1.4-g4480d5f9-dirty (May
20 2019 - 18:45:16)"
21940 0x55B4 CRC32 polynomial table, big endian
23232 0x5AC0 uImage header, header size: 64 bytes, header CRC:
0x386C2BD5, created: 2019-05-20 10:45:17, image size:
41162 bytes, Data Address: 0x80010000, Entry Point:
0x80010000, data CRC: 0xC9CD1E38, OS: Linux, CPU: MIPS,
image type: Firmware Image, compression type: lzma, image
name: "u-boot image"
23296 0x5B00 LZMA compressed data, properties: 0x5D, dictionary size:
8388608 bytes, uncompressed size: 97476 bytes
64968 0xFDC8 XML document, version: "1.0"
78448 0x13270 uImage header, header size: 64 bytes, header CRC:
0x78A267FF, created: 2019-07-26 07:46:14, image size:
1088500 bytes, Data Address: 0x80060000, Entry Point:
0x80060000, data CRC: 0xBB9D4F94, OS: Linux, CPU: MIPS,
image type: Multi-File Image, compression type: lzma,
image name: "MIPS OpenWrt Linux-3.3.8"
78520 0x132B8 LZMA compressed data, properties: 0x6D, dictionary size:
8388608 bytes, uncompressed size: 3164228 bytes
1167013 0x11CEA5 Squashfs filesystem, little endian, version 4.0,
compression:xz, size: 14388306 bytes, 2541 inodes,
blocksize: 65536 bytes, created: 2019-07-26 07:51:38
15555328 0xED5B00 gzip compressed data, from Unix, last modified: 2019-07-26
07:51:41Agora temos moita información sobre esta imaxe.
Usos da imaxe como cargador de arranque (encabezado da imaxe en 0x5AC0 e unha imaxe comprimida do cargador de arranque en 0x5B00). Con base na cabeceira uImage en 0x13270, sabemos que a arquitectura do procesador é MIPS e que o núcleo de Linux é a versión 3.3.8. E en base á imaxe que se atopa no enderezo 0x11CEA5, podemos ver iso rootfs é un sistema de ficheiros squashfs.
Imos agora extraer o cargador de arranque (U-Boot) usando o comando dd:
$ dd if=archer-c7.bin of=u-boot.bin.lzma bs=1 skip=23296 count=41162
41162+0 records in
41162+0 records out
41162 bytes (41 kB, 40 KiB) copied, 0,0939608 s, 438 kB/sDado que a imaxe se comprime usando LZMA, necesitamos descomprimila:
$ unlzma u-boot.bin.lzmaAgora temos unha imaxe de U-Boot:
$ ls -l u-boot.bin
-rw-rw-r-- 1 sprado sprado 97476 Fev 5 08:48 u-boot.binQue tal atopar o valor predeterminado para bootargs?
$ strings u-boot.bin | grep bootargs
bootargs
bootargs=console=ttyS0,115200 board=AP152 rootfstype=squashfs init=/etc/preinit mtdparts=spi0.0:128k(factory-uboot),192k(u-boot),64k(ART),1536k(uImage),14464k@0x1e0000(rootfs) mem=128MVariable de entorno U-Boot bootargs usado para pasar parámetros ao núcleo de Linux. E polo anterior, entendemos mellor a memoria flash do dispositivo.
Que tal extraer a imaxe do núcleo de Linux?
$ dd if=archer-c7.bin of=uImage bs=1 skip=78448 count=1088572
1088572+0 records in
1088572+0 records out
1088572 bytes (1,1 MB, 1,0 MiB) copied, 1,68628 s, 646 kB/sPodemos comprobar que a imaxe foi extraída con éxito mediante o comando file:
$ file uImage
uImage: u-boot legacy uImage, MIPS OpenWrt Linux-3.3.8, Linux/MIPS, Multi-File Image (lzma), 1088500 bytes, Fri Jul 26 07:46:14 2019, Load Address: 0x80060000, Entry Point: 0x80060000, Header CRC: 0x78A267FF, Data CRC: 0xBB9D4F94O formato de ficheiro uImage é basicamente unha imaxe do núcleo de Linux cunha cabeceira adicional. Imos eliminar esta cabeceira para obter a imaxe final do núcleo de Linux:
$ dd if=uImage of=Image.lzma bs=1 skip=72
1088500+0 records in
1088500+0 records out
1088500 bytes (1,1 MB, 1,0 MiB) copied, 1,65603 s, 657 kB/sA imaxe está comprimida, así que imos descomprimila:
$ unlzma Image.lzmaAgora temos unha imaxe do núcleo de Linux:
$ ls -la Image
-rw-rw-r-- 1 sprado sprado 3164228 Fev 5 10:51 ImageQue podemos facer coa imaxe do núcleo? Poderíamos, por exemplo, facer unha busca de cadeas na imaxe e atopar a versión do núcleo de Linux e coñecer o ambiente empregado para construír o núcleo:
$ strings Image | grep "Linux version"
Linux version 3.3.8 (leo@leo-MS-7529) (gcc version 4.6.3 20120201 (prerelease) (Linaro GCC 4.6-2012.02) ) #1 Mon May 20 18:53:02 CST 2019Aínda que o firmware foi lanzado o ano pasado (2019), mentres escribo este artigo está a usar unha versión antiga do núcleo de Linux (3.3.8) publicada en 2012, compilada cunha versión moi antiga de GCC (4.6) tamén desde 2012 !
(aprox. trad. aínda confías nos teus enrutadores na oficina e na casa?)
Con opción --opcodes tamén podemos usar binwalk para buscar instrucións da máquina e determinar a arquitectura do procesador da imaxe:
$ binwalk --opcodes Image
DECIMAL HEXADECIMAL DESCRIPTION
--------------------------------------------------------------------------------
2400 0x960 MIPS instructions, function epilogue
2572 0xA0C MIPS instructions, function epilogue
2828 0xB0C MIPS instructions, function epilogueQue pasa co sistema de ficheiros raíz? En lugar de extraer a imaxe manualmente, usemos a opción binwalk --extract:
$ binwalk --extract --quiet archer-c7.binO sistema de ficheiros raíz completo extraerase nun subdirectorio:
$ cd _archer-c7.bin.extracted/squashfs-root/
$ ls
bin dev etc lib mnt overlay proc rom root sbin sys tmp usr var www
$ cat etc/banner
MM NM MMMMMMM M M
$MMMMM MMMMM MMMMMMMMMMM MMM MMM
MMMMMMMM MM MMMMM. MMMMM:MMMMMM: MMMM MMMMM
MMMM= MMMMMM MMM MMMM MMMMM MMMM MMMMMM MMMM MMMMM'
MMMM= MMMMM MMMM MM MMMMM MMMM MMMM MMMMNMMMMM
MMMM= MMMM MMMMM MMMMM MMMM MMMM MMMMMMMM
MMMM= MMMM MMMMMM MMMMM MMMM MMMM MMMMMMMMM
MMMM= MMMM MMMMM, NMMMMMMMM MMMM MMMM MMMMMMMMMMM
MMMM= MMMM MMMMMM MMMMMMMM MMMM MMMM MMMM MMMMMM
MMMM= MMMM MM MMMM MMMM MMMM MMMM MMMM MMMM
MMMM$ ,MMMMM MMMMM MMMM MMM MMMM MMMMM MMMM MMMM
MMMMMMM: MMMMMMM M MMMMMMMMMMMM MMMMMMM MMMMMMM
MMMMMM MMMMN M MMMMMMMMM MMMM MMMM
MMMM M MMMMMMM M M
M
---------------------------------------------------------------
For those about to rock... (%C, %R)
---------------------------------------------------------------Agora podemos facer moitas cousas diferentes.
Podemos buscar ficheiros de configuración, hash de contrasinais, claves criptográficas e certificados dixitais. Podemos analizar ficheiros binarios para e vulnerabilidades.
Con и incluso podemos executar (emular) un executable desde a imaxe:
$ ls
bin dev etc lib mnt overlay proc rom root sbin sys tmp usr var www
$ cp /usr/bin/qemu-mips-static .
$ sudo chroot . ./qemu-mips-static bin/busybox
BusyBox v1.19.4 (2019-05-20 18:13:49 CST) multi-call binary.
Copyright (C) 1998-2011 Erik Andersen, Rob Landley, Denys Vlasenko
and others. Licensed under GPLv2.
See source distribution for full notice.
Usage: busybox [function] [arguments]...
or: busybox --list[-full]
or: function [arguments]...
BusyBox is a multi-call binary that combines many common Unix
utilities into a single executable. Most people will create a
link to busybox for each function they wish to use and BusyBox
will act like whatever it was invoked as.
Currently defined functions:
[, [[, addgroup, adduser, arping, ash, awk, basename, cat, chgrp, chmod, chown, chroot, clear, cmp, cp, crond, crontab, cut, date, dd, delgroup, deluser, dirname, dmesg, echo, egrep, env, expr, false,
fgrep, find, free, fsync, grep, gunzip, gzip, halt, head, hexdump, hostid, id, ifconfig, init, insmod, kill, killall, klogd, ln, lock, logger, ls, lsmod, mac_addr, md5sum, mkdir, mkfifo, mknod, mktemp,
mount, mv, nice, passwd, pgrep, pidof, ping, ping6, pivot_root, poweroff, printf, ps, pwd, readlink, reboot, reset, rm, rmdir, rmmod, route, sed, seq, sh, sleep, sort, start-stop-daemon, strings,
switch_root, sync, sysctl, tail, tar, tee, telnet, test, tftp, time, top, touch, tr, traceroute, true, udhcpc, umount, uname, uniq, uptime, vconfig, vi, watchdog, wc, wget, which, xargs, yes, zcatGenial! Pero teña en conta que a versión de BusyBox é 1.19.4. Esta é unha versión moi antiga de BusyBox, publicado en abril de 2012.
Polo tanto, TP-Link lanza unha imaxe de firmware en 2019 usando software (cadea de ferramentas GCC, núcleo, BusyBox, etc.) a partir de 2012!
Agora entendes por que sempre instalo OpenWRT nos meus enrutadores?
Iso non é todo
Binwalk tamén pode realizar análises de entropía, imprimir datos de entropía en bruto e xerar gráficos de entropía. Normalmente, obsérvase maior entropía cando os bytes da imaxe son aleatorios. Isto pode significar que a imaxe contén un ficheiro cifrado, comprimido ou ofuscado. Clave de cifrado incondicional? Por que non.
Tamén podemos usar o parámetro --raw para atopar unha secuencia de bytes en bruto personalizada nunha imaxe ou parámetro --hexdump para realizar un volcado hexadecimal comparando dous ou máis ficheiros de entrada.
pódese engadir a binwalk a través dun ficheiro de sinatura personalizado especificado na liña de comandos mediante o parámetro --magic, ou engadíndoos ao directorio $ HOME / .config / binwalk / magic.
Podes atopar máis información sobre binwalk en .
extensión binwalk
Ten binwalk, implementado como un módulo de Python que pode ser usado por calquera script de Python para realizar unha exploración binwalk mediante programación, e a utilidade de liña de comandos binwalk pódese duplicar case por completo con só dúas liñas de código Python.
import binwalk
binwalk.scan()Usando a API de Python tamén podes crear para configurar e ampliar binwalk.
Tamén hai e versión en nube .
Entón, por que non descargas a imaxe do firmware de Internet e probas binwalk? Prometo que te divertirás moito :)
Fonte: www.habr.com