Dolt kommandoskal i Yamaha-synthesizer som möjliggjorde kodexekvering via MIDI

Anna Antonenko, som utvecklar inbyggda system och på sin fritid utvecklar operativsystemet BOSS (BEAM-based Operating System with Security), publicerade resultaten av reverse engineering av Yamaha PSR-E433 musiksynthesizer. Under det utförda arbetet identifierades ett obfuskerat skalgränssnitt i synthesizern, vilket gjorde det möjligt att organisera exekveringen av dess kod på firmwarenivå. Skalgränssnittet nås genom att skicka MIDI-paket som innehåller SysEx-meddelanden, som kan överföras när synthesizern är ansluten via USB. Information om chip och firmware som erhållits under reverse engineering, samt kodexempel och felsökningsdumpar, läggs ut på GitHub.

Intresset för reverse engineering uppstod för flera år sedan, efter att Anna bestämde sig för att rengöra insidan av synthesizern från damm och samtidigt tillfredsställa sin nyfikenhet relaterad till önskan att se insidan av enheten. Kortet innehöll ett YAMAHA SWL01U-chip, om vilket detaljerad information inte kunde hittas på Internet. För ett par månader sedan kom Anna över en manual för en liknande syntmodell, som innehöll pinouten till detta chip. Anna tog isär enheten igen och började experimentera med hjälp av stiften som finns på kortet för JTAG-felsökningsgränssnittet och UART-porten.

Genom att använda OpenOCD-debuggern, ansluta till JTAG och experiment, fann man att kortet använder ett chip med en ARM7TDMI-processorkärna. Efter att ha studerat minneslayouten i debuggern kunde vi ladda ner innehållet i den fasta programvaran som finns i ROM och Flash-minne. Firmware-bilderna analyserades sedan med Ghidra reverse engineering-paketet.

När man tittade på strängdata som extraherades från firmware, märktes en uppsättning rader ("hjälp", "info", "ver", "logga ut", etc.) som liknar skalkommandon. Genom att undersöka pekarna till dessa rader avslöjades kod som anropade funktioner för att bearbeta kommandon, som påminner om ett inloggningsgränssnitt och ett kommandoskal. Det avslöjades också att för att aktivera skalet tillhandahålls kommandot "login", till vilket du måste skicka lösenordet "#0000". void shell_run_command(char* command_input) { if (shell_login_state == 0) { if (shell_compare_command(command_input, "login") == 0) { shell_ask_passwd(); // skriver ut "passwd? " shell_login_state = 1; } } else if (shell_login_state == 1) { if (shell_compare_command(command_input, "#0000") == 0) { shell_login_ok(); // skriver ut "login OK" shell_login_state = 2; } else { shell_print("Passwd Error\r"); shell_login_state = 0; } } else {// kör faktiskt kommandot } }

Ytterligare granskning av den fasta programvaran visade att kommandon bearbetas i omgångar, alltid med samma 8 byte data och slutar med koden 0xf7. Eftersom extern interaktion med synthesizern endast utförs via MIDI, och MIDI-specifikationen tillhandahåller en speciell servicetyp av SysEx-meddelanden, antogs det att detta kunde användas för att överföra kommandon. Ytterligare förstärkning av gissningen var att SysEx-meddelanden och paket som analyserades av skalet började med en enda kod, 0xf0, följt av tillverkarens ID 0x43 (Yamaha).

För att testa hypotesen skrevs ett Python-skript som översatte indata till MIDI-protokollpaket. Och metoden fungerade: login passwd? #0000 logga in OK > hjälp logga ut hjälp? info ver stack perf-on perf-off perf-disp d dp d xxxxx d/s xxxxx m ADRESSDATA m/b ADRESSDATA m/v ADRESSDATA m/l ADRESSDATA > info FramkallaNamn PSR-E433 UtvecklingsNumber #3341 HuvudutvecklarNumber # 3341 Gör data & tid 16 MAJ 2012 19:00:57 J/E Välj engelska >

Uppmaningen som visades när kommandot "hjälp" skickades innehöll bland annat kommandon för att ändra innehållet i minnet. Genom att använda dessa kommandon var det möjligt att ladda godtycklig kod i minnet och överföra kontrollen till det, och ersätta pekaren på stacken som användes för att återvända efter avslutad kommandobearbetning. Som ett experiment placerades en enkel applikation skriven i assemblerspråk i ett oanvänt minnesområde som matar ut strängen "HeloWrld" till en 8-teckens LCD-displayindikator. Programmet formaterades som en vanlig MIDI-fil, som bara behövde överföras till enheten.

Efter detta började arbetet med att studera funktionerna för grafikutmatning på en LCD-skärm, vilket kulminerade i förberedelserna av kod som matar ut godtyckligt pixelinnehåll i teckenområdet, synkront med uppspelningen av Bad Apple-videon på en extern enhet (video med demonstration ).

Källa: opennet.ru