Một vài ngày trước, tôi đã quyết định thiết kế ngược chương trình cơ sở của bộ định tuyến bằng binwalk.
tôi tự mua . Không phải là bộ định tuyến tốt nhất nhưng khá đủ cho nhu cầu của tôi.
Mỗi lần tôi mua bộ định tuyến mới, tôi đều cài đặt . Để làm gì? Theo quy định, các nhà sản xuất không quan tâm nhiều đến việc hỗ trợ bộ định tuyến của họ và theo thời gian, phần mềm trở nên lỗi thời, các lỗ hổng xuất hiện, v.v., nói chung, bạn hiểu ý. Vì vậy, tôi thích phần mềm OpenWRT hơn, phần mềm này được cộng đồng nguồn mở hỗ trợ tốt.
Sau khi tải xuống OpenWRT, tôi cũng theo Archer C7 mới của tôi từ trang web chính thức và quyết định phân tích nó. Hoàn toàn để giải trí và nói về binwalk.
binwalk là gì?
là một công cụ mã nguồn mở để phân tích, kỹ thuật đảo ngược và trích xuất hình ảnh phần sụn.
Được Craig Heffner tạo ra vào năm 2010, binwalk có thể quét hình ảnh chương trình cơ sở và tìm tệp, xác định và trích xuất hình ảnh hệ thống tệp, mã thực thi, kho lưu trữ nén, bộ tải khởi động và hạt nhân, các định dạng tệp như JPEG và PDF, v.v.
Bạn có thể sử dụng binwalk để thiết kế ngược chương trình cơ sở để hiểu cách hoạt động của chương trình cơ sở. Tìm kiếm các lỗ hổng trong tệp nhị phân, trích xuất tệp và tìm kiếm các cửa hậu hoặc chứng chỉ kỹ thuật số. Bạn cũng có thể tìm thấy opcodes cho nhiều CPU khác nhau.
Bạn có thể trích xuất hình ảnh hệ thống tệp để tìm kiếm các tệp mật khẩu cụ thể (passwd, Shadow, v.v.) và cố gắng phá vỡ các hàm băm mật khẩu. Bạn có thể thực hiện phân tích cú pháp nhị phân giữa hai hoặc nhiều tệp. Bạn có thể thực hiện phân tích entropy trên dữ liệu để tìm kiếm dữ liệu nén hoặc khóa mã hóa được mã hóa. Tất cả điều này mà không cần phải truy cập vào mã nguồn.
Nói chung là có tất cả những gì bạn cần :)
Binwalk hoạt động như thế nào?
Tính năng chính của binwalk là quét chữ ký. Binwalk có thể quét hình ảnh chương trình cơ sở để tìm kiếm các loại tệp và hệ thống tệp tích hợp khác nhau.
Bạn có biết tiện ích dòng lệnh file?
file /bin/bash
/bin/bash: ELF 64-bit LSB shared object, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/l, for GNU/Linux 3.2.0, BuildID[sha1]=12f73d7a8e226c663034529c8dd20efec22dde54, strippedĐội filenhìn vào tiêu đề tệp và tìm chữ ký (số ma thuật) để xác định loại tệp. Ví dụ: nếu tệp bắt đầu bằng chuỗi byte 0x89 0x50 0x4E 0x47 0x0D 0x0A 0x1A 0x0A, nó biết đó là tệp PNG. TRÊN Có một danh sách các chữ ký tập tin phổ biến.
Binwalk hoạt động theo cách tương tự. Nhưng thay vì chỉ tìm chữ ký ở đầu file, binwalk sẽ quét toàn bộ file. Ngoài ra, binwalk có thể trích xuất các tập tin có trong hình ảnh.
Dụng cụ file и binwalk sử dụng thư viện libmagic để xác định chữ ký tập tin. Nhưng binwalk Ngoài ra còn hỗ trợ danh sách các chữ ký ma thuật tùy chỉnh để tìm kiếm các tệp nén/nén, tiêu đề chương trình cơ sở, nhân Linux, bộ tải khởi động, hệ thống tệp, v.v.
Hãy vui vẻ chút nhé?
Lắp đặt Binwalk
Binwalk được hỗ trợ trên nhiều nền tảng bao gồm Linux, OSX, FreeBSD và Windows.
Để cài đặt phiên bản binwalk mới nhất, bạn có thể và làm theo hoặc , có sẵn trên trang web của dự án.
Binwalk có nhiều thông số khác nhau:
$ binwalk
Binwalk v2.2.0
Craig Heffner, ReFirmLabs
https://github.com/ReFirmLabs/binwalk
Usage: binwalk [OPTIONS] [FILE1] [FILE2] [FILE3] ...
Signature Scan Options:
-B, --signature Scan target file(s) for common file signatures
-R, --raw=<str> Scan target file(s) for the specified sequence of bytes
-A, --opcodes Scan target file(s) for common executable opcode signatures
-m, --magic=<file> Specify a custom magic file to use
-b, --dumb Disable smart signature keywords
-I, --invalid Show results marked as invalid
-x, --exclude=<str> Exclude results that match <str>
-y, --include=<str> Only show results that match <str>
Extraction Options:
-e, --extract Automatically extract known file types
-D, --dd=<type:ext:cmd> Extract <type> signatures, give the files an extension of <ext>, and execute <cmd>
-M, --matryoshka Recursively scan extracted files
-d, --depth=<int> Limit matryoshka recursion depth (default: 8 levels deep)
-C, --directory=<str> Extract files/folders to a custom directory (default: current working directory)
-j, --size=<int> Limit the size of each extracted file
-n, --count=<int> Limit the number of extracted files
-r, --rm Delete carved files after extraction
-z, --carve Carve data from files, but don't execute extraction utilities
-V, --subdirs Extract into sub-directories named by the offset
Entropy Options:
-E, --entropy Calculate file entropy
-F, --fast Use faster, but less detailed, entropy analysis
-J, --save Save plot as a PNG
-Q, --nlegend Omit the legend from the entropy plot graph
-N, --nplot Do not generate an entropy plot graph
-H, --high=<float> Set the rising edge entropy trigger threshold (default: 0.95)
-L, --low=<float> Set the falling edge entropy trigger threshold (default: 0.85)
Binary Diffing Options:
-W, --hexdump Perform a hexdump / diff of a file or files
-G, --green Only show lines containing bytes that are the same among all files
-i, --red Only show lines containing bytes that are different among all files
-U, --blue Only show lines containing bytes that are different among some files
-u, --similar Only display lines that are the same between all files
-w, --terse Diff all files, but only display a hex dump of the first file
Raw Compression Options:
-X, --deflate Scan for raw deflate compression streams
-Z, --lzma Scan for raw LZMA compression streams
-P, --partial Perform a superficial, but faster, scan
-S, --stop Stop after the first result
General Options:
-l, --length=<int> Number of bytes to scan
-o, --offset=<int> Start scan at this file offset
-O, --base=<int> Add a base address to all printed offsets
-K, --block=<int> Set file block size
-g, --swap=<int> Reverse every n bytes before scanning
-f, --log=<file> Log results to file
-c, --csv Log results to file in CSV format
-t, --term Format output to fit the terminal window
-q, --quiet Suppress output to stdout
-v, --verbose Enable verbose output
-h, --help Show help output
-a, --finclude=<str> Only scan files whose names match this regex
-p, --fexclude=<str> Do not scan files whose names match this regex
-s, --status=<int> Enable the status server on the specified portQuét hình ảnh
Hãy bắt đầu bằng cách tìm kiếm chữ ký tập tin bên trong hình ảnh (hình ảnh từ trang web ).
Chạy binwalk với tham số --signature:
$ binwalk --signature --term archer-c7.bin
DECIMAL HEXADECIMAL DESCRIPTION
------------------------------------------------------------------------------------------
21876 0x5574 U-Boot version string, "U-Boot 1.1.4-g4480d5f9-dirty (May
20 2019 - 18:45:16)"
21940 0x55B4 CRC32 polynomial table, big endian
23232 0x5AC0 uImage header, header size: 64 bytes, header CRC:
0x386C2BD5, created: 2019-05-20 10:45:17, image size:
41162 bytes, Data Address: 0x80010000, Entry Point:
0x80010000, data CRC: 0xC9CD1E38, OS: Linux, CPU: MIPS,
image type: Firmware Image, compression type: lzma, image
name: "u-boot image"
23296 0x5B00 LZMA compressed data, properties: 0x5D, dictionary size:
8388608 bytes, uncompressed size: 97476 bytes
64968 0xFDC8 XML document, version: "1.0"
78448 0x13270 uImage header, header size: 64 bytes, header CRC:
0x78A267FF, created: 2019-07-26 07:46:14, image size:
1088500 bytes, Data Address: 0x80060000, Entry Point:
0x80060000, data CRC: 0xBB9D4F94, OS: Linux, CPU: MIPS,
image type: Multi-File Image, compression type: lzma,
image name: "MIPS OpenWrt Linux-3.3.8"
78520 0x132B8 LZMA compressed data, properties: 0x6D, dictionary size:
8388608 bytes, uncompressed size: 3164228 bytes
1167013 0x11CEA5 Squashfs filesystem, little endian, version 4.0,
compression:xz, size: 14388306 bytes, 2541 inodes,
blocksize: 65536 bytes, created: 2019-07-26 07:51:38
15555328 0xED5B00 gzip compressed data, from Unix, last modified: 2019-07-26
07:51:41Bây giờ chúng ta có rất nhiều thông tin về hình ảnh này.
Sử dụng hình ảnh như một bộ nạp khởi động (tiêu đề hình ảnh tại 0x5AC0 và một hình ảnh bootloader nén tại 0x5B00). Dựa trên tiêu đề uImage ở 0x13270, chúng tôi biết rằng kiến trúc bộ xử lý là MIPS và nhân Linux là phiên bản 3.3.8. Và dựa trên hình ảnh được tìm thấy tại địa chỉ 0x11CEA5, Chúng tôi có thể thấy điều đó rootfs là một hệ thống tập tin squashfs.
Bây giờ chúng ta giải nén bootloader (U-Boot) bằng lệnh dd:
$ dd if=archer-c7.bin of=u-boot.bin.lzma bs=1 skip=23296 count=41162
41162+0 records in
41162+0 records out
41162 bytes (41 kB, 40 KiB) copied, 0,0939608 s, 438 kB/sVì hình ảnh được nén bằng LZMA nên chúng ta cần giải nén nó:
$ unlzma u-boot.bin.lzmaBây giờ chúng ta có image U-Boot:
$ ls -l u-boot.bin
-rw-rw-r-- 1 sprado sprado 97476 Fev 5 08:48 u-boot.binLàm cách nào để tìm giá trị mặc định cho bootargs?
$ strings u-boot.bin | grep bootargs
bootargs
bootargs=console=ttyS0,115200 board=AP152 rootfstype=squashfs init=/etc/preinit mtdparts=spi0.0:128k(factory-uboot),192k(u-boot),64k(ART),1536k(uImage),14464k@0x1e0000(rootfs) mem=128MBiến môi trường U-Boot bootargs được sử dụng để truyền tham số cho nhân Linux. Và từ những điều trên chúng ta đã hiểu rõ hơn về bộ nhớ flash của máy.
Còn việc trích xuất hình ảnh hạt nhân Linux thì sao?
$ dd if=archer-c7.bin of=uImage bs=1 skip=78448 count=1088572
1088572+0 records in
1088572+0 records out
1088572 bytes (1,1 MB, 1,0 MiB) copied, 1,68628 s, 646 kB/sChúng ta có thể kiểm tra xem hình ảnh đã được trích xuất thành công hay chưa bằng lệnh file:
$ file uImage
uImage: u-boot legacy uImage, MIPS OpenWrt Linux-3.3.8, Linux/MIPS, Multi-File Image (lzma), 1088500 bytes, Fri Jul 26 07:46:14 2019, Load Address: 0x80060000, Entry Point: 0x80060000, Header CRC: 0x78A267FF, Data CRC: 0xBB9D4F94Định dạng tệp uImage về cơ bản là hình ảnh nhân Linux có tiêu đề bổ sung. Hãy xóa tiêu đề này để có được hình ảnh nhân Linux cuối cùng:
$ dd if=uImage of=Image.lzma bs=1 skip=72
1088500+0 records in
1088500+0 records out
1088500 bytes (1,1 MB, 1,0 MiB) copied, 1,65603 s, 657 kB/sẢnh đã được nén nên chúng ta giải nén nhé:
$ unlzma Image.lzmaBây giờ chúng ta có image kernel Linux:
$ ls -la Image
-rw-rw-r-- 1 sprado sprado 3164228 Fev 5 10:51 ImageChúng ta có thể làm gì với hình ảnh hạt nhân? Ví dụ: chúng ta có thể thực hiện tìm kiếm chuỗi trong hình ảnh và tìm phiên bản hạt nhân Linux cũng như tìm hiểu về môi trường được sử dụng để xây dựng hạt nhân:
$ strings Image | grep "Linux version"
Linux version 3.3.8 (leo@leo-MS-7529) (gcc version 4.6.3 20120201 (prerelease) (Linaro GCC 4.6-2012.02) ) #1 Mon May 20 18:53:02 CST 2019Mặc dù phần sụn đã được phát hành vào năm ngoái (2019), nhưng khi tôi viết bài này, nó đang sử dụng phiên bản cũ của nhân Linux (3.3.8) được phát hành vào năm 2012, được biên dịch bằng phiên bản GCC (4.6) rất cũ kể từ năm 2012 !
(ước chừng dịch. bạn vẫn tin tưởng các bộ định tuyến của mình ở văn phòng và ở nhà chứ?)
Với tùy chọn --opcodes chúng ta cũng có thể sử dụng binwalk để tra cứu hướng dẫn máy và xác định kiến trúc bộ xử lý của hình ảnh:
$ binwalk --opcodes Image
DECIMAL HEXADECIMAL DESCRIPTION
--------------------------------------------------------------------------------
2400 0x960 MIPS instructions, function epilogue
2572 0xA0C MIPS instructions, function epilogue
2828 0xB0C MIPS instructions, function epilogueCòn hệ thống tập tin gốc thì sao? Thay vì giải nén hình ảnh theo cách thủ công, chúng ta hãy sử dụng tùy chọn binwalk --extract:
$ binwalk --extract --quiet archer-c7.binHệ thống tập tin gốc hoàn chỉnh sẽ được trích xuất vào thư mục con:
$ cd _archer-c7.bin.extracted/squashfs-root/
$ ls
bin dev etc lib mnt overlay proc rom root sbin sys tmp usr var www
$ cat etc/banner
MM NM MMMMMMM M M
$MMMMM MMMMM MMMMMMMMMMM MMM MMM
MMMMMMMM MM MMMMM. MMMMM:MMMMMM: MMMM MMMMM
MMMM= MMMMMM MMM MMMM MMMMM MMMM MMMMMM MMMM MMMMM'
MMMM= MMMMM MMMM MM MMMMM MMMM MMMM MMMMNMMMMM
MMMM= MMMM MMMMM MMMMM MMMM MMMM MMMMMMMM
MMMM= MMMM MMMMMM MMMMM MMMM MMMM MMMMMMMMM
MMMM= MMMM MMMMM, NMMMMMMMM MMMM MMMM MMMMMMMMMMM
MMMM= MMMM MMMMMM MMMMMMMM MMMM MMMM MMMM MMMMMM
MMMM= MMMM MM MMMM MMMM MMMM MMMM MMMM MMMM
MMMM$ ,MMMMM MMMMM MMMM MMM MMMM MMMMM MMMM MMMM
MMMMMMM: MMMMMMM M MMMMMMMMMMMM MMMMMMM MMMMMMM
MMMMMM MMMMN M MMMMMMMMM MMMM MMMM
MMMM M MMMMMMM M M
M
---------------------------------------------------------------
For those about to rock... (%C, %R)
---------------------------------------------------------------Bây giờ chúng ta có thể làm được rất nhiều thứ khác nhau.
Chúng tôi có thể tìm kiếm các tệp cấu hình, băm mật khẩu, khóa mật mã và chứng chỉ kỹ thuật số. Chúng tôi có thể phân tích các tệp nhị phân cho và các lỗ hổng.
Với и chúng ta thậm chí có thể chạy (mô phỏng) một tệp thực thi từ hình ảnh:
$ ls
bin dev etc lib mnt overlay proc rom root sbin sys tmp usr var www
$ cp /usr/bin/qemu-mips-static .
$ sudo chroot . ./qemu-mips-static bin/busybox
BusyBox v1.19.4 (2019-05-20 18:13:49 CST) multi-call binary.
Copyright (C) 1998-2011 Erik Andersen, Rob Landley, Denys Vlasenko
and others. Licensed under GPLv2.
See source distribution for full notice.
Usage: busybox [function] [arguments]...
or: busybox --list[-full]
or: function [arguments]...
BusyBox is a multi-call binary that combines many common Unix
utilities into a single executable. Most people will create a
link to busybox for each function they wish to use and BusyBox
will act like whatever it was invoked as.
Currently defined functions:
[, [[, addgroup, adduser, arping, ash, awk, basename, cat, chgrp, chmod, chown, chroot, clear, cmp, cp, crond, crontab, cut, date, dd, delgroup, deluser, dirname, dmesg, echo, egrep, env, expr, false,
fgrep, find, free, fsync, grep, gunzip, gzip, halt, head, hexdump, hostid, id, ifconfig, init, insmod, kill, killall, klogd, ln, lock, logger, ls, lsmod, mac_addr, md5sum, mkdir, mkfifo, mknod, mktemp,
mount, mv, nice, passwd, pgrep, pidof, ping, ping6, pivot_root, poweroff, printf, ps, pwd, readlink, reboot, reset, rm, rmdir, rmmod, route, sed, seq, sh, sleep, sort, start-stop-daemon, strings,
switch_root, sync, sysctl, tail, tar, tee, telnet, test, tftp, time, top, touch, tr, traceroute, true, udhcpc, umount, uname, uniq, uptime, vconfig, vi, watchdog, wc, wget, which, xargs, yes, zcatTuyệt vời! Nhưng xin lưu ý rằng phiên bản BusyBox là 1.19.4. Đây là phiên bản rất cũ của BusyBox, phát hành vào tháng 2012 năm XNUMX.
Vì vậy TP-Link sẽ phát hành hình ảnh chương trình cơ sở vào năm 2019 bằng phần mềm (chuỗi công cụ GCC, kernel, BusyBox, v.v.) từ năm 2012!
Bây giờ bạn đã hiểu tại sao tôi luôn cài đặt OpenWRT trên bộ định tuyến của mình chưa?
Đó không phải là tất cả
Binwalk cũng có thể thực hiện phân tích entropy, in dữ liệu entropy thô và tạo biểu đồ entropy. Thông thường, entropy lớn hơn được quan sát thấy khi các byte trong ảnh là ngẫu nhiên. Điều này có thể có nghĩa là hình ảnh chứa tệp được mã hóa, nén hoặc bị xáo trộn. Khóa mã hóa lõi cứng? Tại sao không.
Chúng ta cũng có thể sử dụng tham số --raw để tìm chuỗi byte thô tùy chỉnh trong hình ảnh hoặc tham số --hexdump để thực hiện kết xuất hex so sánh hai hoặc nhiều tệp đầu vào.
có thể được thêm vào binwalk thông qua tệp chữ ký tùy chỉnh được chỉ định trên dòng lệnh bằng tham số --magic, hoặc bằng cách thêm chúng vào thư mục $ HOME / .config / binwalk / magic.
Bạn có thể tìm thêm thông tin về binwalk tại .
phần mở rộng lối đi bộ binwalk
Có binwalk, được triển khai dưới dạng mô-đun Python có thể được bất kỳ tập lệnh Python nào sử dụng để thực hiện quét binwalk theo chương trình và tiện ích dòng lệnh binwalk có thể được sao chép gần như hoàn toàn chỉ với hai dòng mã Python!
import binwalk
binwalk.scan()Sử dụng API Python bạn cũng có thể tạo để cấu hình và mở rộng binwalk.
Cũng tồn tại và phiên bản đám mây .
Vậy tại sao bạn không tải image firmware từ Internet về và thử binwalk? Tôi hứa bạn sẽ có rất nhiều niềm vui :)
Nguồn: www.habr.com