книги хакеры / журнал хакер / 124_Optimized

Сообщениеонехваткепамяти

ТЕОРИЯ(ИНТЕГРАЦИИНОВОГОАРХИВА)

Далеетребуетсясейархивпоместитьвместооригинальногообраза. Чтобыпроделатьэто, нампонадобитсяшестнадцатеричныйредактор типаWinHex, HT Editor илиhview. ЯпредпочитаюWinHex, нопонадобитсяещеиHT, чутьпозжеобъяснюпочему.

Кактыможешьвидетьнаскриншоте, бинарныйобразIOS, скореевсего, естьнечтоиное, какисполняемыйфайлвформатеELF (Executable and Linkable Formate). ELF-форматявляетсяосновнымисполняемым

файломв*nix-like системах, поэтомунеудивительновстретитьегоздесь. ПоELF-форматусуществуетчеткаяспецификация, последняяверсия которой1.2, однакодлянашихцелейбудетдостаточно, например, заголовочногофайлаизсоставаlibc — elf.h. ОбычныйбинарныйELF-файл представляетсобойструктурувида:

ELF Header

Program Header Table (optional) Section 1

Section 2

…

Section n

Section Header Table

Неуглубляясьвописание(идабынеповторяться), отправляютебяк спецификации.

ТаккаквесьпроцессисследованияяпроводилвMS Windows, топришлосьискатьзаменуутилитеreadelf изсоставаbinutils. Подходящим вариантомоказалсяшестнадцатеричныйредакторHT (hte.sf.net), которыйумеетчитатьимодифицироватьструктурыданныхисполняемых файловELF. Припопыткеоткрытьподопытныйобразc2600-entbasek9- mz.124-9.T1.bin, HT сразуменяобругал, чтоипривлекломоевнимание. Обратимсякelf.h. Структураданных, отвечающаязаELF-заголовок, выглядиттак:

typedef struct {

Elf_Char e_ident[EI_NIDENT]; Elf32_Half e_type;

Elf32_Half e_machine;

Elf32_Word e_version;

Elf32_Addr e_entry;

Elf32_Off e_phoff;

Elf32_Off e_shoff;

Elf32_Word e_flags;

Elf32_Half e_ehsize;

Контрольнаясумма

Elf32_Half e_phentsize;

Elf32_Half e_phnum;

Elf32_Half e_shentsize;

Elf32_Half e_shnum;

Elf32_Half e_shstrndx;

}Elf32_Ehdr;

Внашемслучаеполеe_machine имеетзначение0x002b или43, что соответствуетпроцессоруSPARC v9:

#define EM_SPARCV9 43 /* SPARC v9 64-bit */

Нонамизвестно, чтомаршрутизатор2611 используетпроцессор Motorolla MPC860, значит, поледолжноиметьзначение0x0014, — что соответствует:

#define EM_PPC 20 /* PowerPC */

Скореевсего, этопростейшаязащитаотдизассемблированияобраза. Намэтонесильнопомешает. СпомощьюF6 открываемрежимпросмотраelf/header. Изнегостановятсяизвестныследующиеподробности:

-elf header size 0x34

-program header entry size 0x20

-program header count 1

-section header entry size 0x28

-section header count 6

Что, всумме, даетразмер52+32+6*40=324 или0x144, тоесть, вфайле всего6 секций(соответственно, 6 заголовковсекций) и1 заголовокпрограммы. Вероятнеевсего, однаизсекцийпредназначенадляхранения архивасисполняемымобразомIOS. Этусекциюможновычислитьлибо поразмеру(логично, чтоееразмердолженбытьмаксимальным), либо потипусекции. Заголовоктаблицысекцийможнопросмотреть, нажав <F6> ивыбравelf/section headers, нодляначалаобратимсякописанию секции:

typedef struct { Elf32_Word sh_name; Elf32_Word sh_type; Elf32_Word sh_flags; Elf32_Addr sh_addr; Elf32_Off sh_offset; Elf32_Word sh_size; Elf32_Word sh_link; Elf32_Word sh_info;

Elf32_Word sh_addralign; Elf32_Word sh_entsize; } Elf32_Shdr;

>>

РедакторHT

Полеsh_type ибудетотвечатьзаискомыйтип.

Ксожалению, здесьменяждалоблом, — большинствосекцийимело типSHT_PROGBITS, предназначенныйдлясекций, значениекоторых определяетсясамойпрограммой. Однакочетвертаясекцияимелатип, отличныйотпредыдущих, изначение0x00000007 (секцияпредназна- ченадлякаких-топрограммныхзаметок). Первая(нулевая) секция такжеимеетотличныйотпредыдущихтип(SHT_NULL). Исходяиз этого, ясно, чтоонапустаяинисчемнеассоциирована. Витоге, приходитсяискатьсекциюсмаксимальнымразмером(полеsh_size). Это

— секциязаномеромпять, ееразмер0x1070e7c или17239676 байт. Вернемсякhex-виду(<F6> — hex) иперейдемпосмещению(поле sh_offset) спомощью<F5>.

Чтожемыздесьвидим? Гденашархив, которыйдолженначинатьсяс сигнатурыPK, аточнее, еслиследоватьспецификацииPKZIP-формата

(pkware.com/documents/casestudies/APPNOTE.TXT), — с0x04034b50

вобратномпорядке? Какнистранно, этасигнатураобнаруживается на22 байтапозже. Аеслихорошоприсмотреться, тоотказывается, что сразузазначением0xFEEDFACE идетразмерраспакованногообраза 0x02AED904. ВнимательнопоискаввСети, можнонаткнутьсянаинфор-

мациюизкнигиCisco Networks Hacking Exposed издательстваMcGraw Hill/Osborne.

Наши русские парни Andrew A. Vladimirov, Konstantin V. Gavrilenko, Janis N. Vizulis and Andrei A. Mikhailovsky еще в 2006 году зани-

мались разработкой бинарного патчинга IOS 12.3(6). Им удалось выяснить, что после магического значения 0xFEEDFACE идут последовательно uncompressed image size, compressed image size, compressed image checksum, uncompressed image checksum.

Товарищам также стало известно, что алгоритм вычисления контрольной суммы представляет собой модифицированный алгоритм контрольной суммы в интернете. К счастью, нам не придется ничего вычислять — проверено на практике, что маршрутизатор сам скажет, какое значение должно иметь это поле, если, конечно, подсчитанная контрольная сумма и записанная в соответствующем поле не совпадут:

Error : compressed image checksum is incorrect 0xB99D8823

Expected a checksum of 0xF6F69877

*** System received a Software forced crash ***

signal= 0x17, code= 0x5, context= 0x800805f0 PC = 0x0, Vector = 0x0, SP = 0x0

ПРАКТИКА(ИНТЕГРАЦИИНОВОГОАРХИВА)

Перейдемкактивнымдействиям. Дляначалавырезаемизфайластарую четвертуюсекцию, содержащуюzip-архив, — заисключением20 байт, начинаясмагическогозначения0xFEEDFACE досигнатурыzip (тоесть, сосмещения0x44F8 посмещение0x1075360 + 0x44F8). Затемпосмещению0x44F8 вставляемновыйархив.

Соединимвсюизвестнуюнаминформациювоедино. Размерстарой

Стираемflash

СигнатураFEEDFACE поискомомусмещению

секции(№5), содержащейархивсобразомIOS, загружаемымвпамять, — 0x1070e7c или17239676 (включая20 байтс0xFEEDFACE по0x504B0304).

Размерновойсекции, содержащейархив, — 0xFB9D38 или16489784 (включаятеже20 байт). Разницамеждустарыминовымзначением составит0xB7158 — 749912. Тоесть, смещениечетвертойсекции, физическирасположеннойвфайлепослепятойсекции, требуетсяизменитьс

0x1075360 на0xFBE208!

Старыезначенияпослемагическойзаписи0xFEEDFACE:

unpacked image size: 0x02AED904 45013252

packed image size: 0x01070E66 17239654 (разница с размером 5й секции - на 22 байта меньше)

packed image checksum: 0xB58BE139 unpacked image checksum: 0xA29D4F6E затем идет сигнатура: 0x504B0304

Новыезначенияпослемагическойзаписи0xFEEDFACE:

unpacked image size: 0x02AED904 (остался тот же)

packed image size: 0x00FB9D22 16489762 (разница с размером 5й секции - на 22 байта меньше)

packed image checksum: нам неизвестна и можно заменить на что-нибудь приметное, типа 0x48000000

unpacked image checksum: 0xA29D4F6E (остался тот же)

Новуюконтрольнуюсумму, какяужеговорил, сообщитсаммаршрутизатор.

После всех манипуляций конечный образ был получен, но его размер меня не впечатлил. По сравнению с изначальным размером 16,4 MB (17257364 bytes) я получил всего лишь 15,7 MB (16507472 bytes).

Разница, которую я уже посчитал выше, составила 749912 байт. Конечно, это позволит загрузить образ на flash, но, скорее всего, придется применять опцию /no-squeeze-reserve-space. Когда при копировании маршрутизатор запросит повторное стирание flash, подтверждать действие не нужно. Естественно, такаяситуациябыла бытольковтомслучае, еслиобразбылбысформированправильно. Поэ-

Содержимоеархива

томуянесталспешитьидлязагрузкиобразазашелврежимrommon по <Ctrl+Break>. И— сосвоегокомпьютеразагрузилобразпоtftp напрямую вRAM:

rommon 1>tftpdnld -r

Послезагрузкимаршрутизаторясказал:

TFTP flash copy: Error, image size (16507470) mismatches netsize (16507472).

Оказалось, чтоприредактированииразмера5йсекциияошибсяна2 байта(тесамые20 байтс0xFEEDFACE + 2).

Послевторойпопыткизагрузкивыяснилось, чтоконтрольнаясумма запакованногообраза— 0xB0257B0D:

Error : compressed image checksum is incorrect 0xB99D8823

Expected a checksum of 0x48000000

*** System received a Software forced crash ***

signal= 0x17, code= 0x5, context= 0x800805f0 PC = 0x0, Vector = 0x0, SP = 0x0

Корректируемсоответствующееполепосле0xFEEDFACE (загружаем файлвHT по<F3>, переходимпосмещениюспомощью<F5> иредактируемпо<F4>, незабываясохранятьсяпо<F2>). Сновагрузимся.

rommon 4>reset -s

Дальшевсенормально, однакозатемIOS вываливаетсяиотказывается работатьпопричиненедостаткапамяти.

НИКОГДАНЕСДАВАЙСЯ

Янерасстроилсяирешилвзятьсязадругойобраз— c2600- advsecurityk9-mz.124-21.bin. Послеаналогичныхманипуляцийсбайтами, дажеприиспользовании128-битногословав7zip, размерсоставил 15947076 (противизначальных16635336), чтопозволилозагрузитьегово flash. Помимопрочего, этотобразуженеругалсянанедостатокпамяти RAM ипрекрасночувствовалсебянаэтойплатформе:

router#show version

Cisco IOS Software, C2600 Software (C2600- ADVSECURITYK9-M), Version 12.4(21), RELEASE SOFTWARE (fc1)

<skiped>

router#show memory summary

Head Total(b) Used(b) Free(b) Lowest(b) Largest(b) Processor 82A44240 20244772 8718640 11526132 10171028 10098348

I/O 3CA3400 3525632 1650536 1875096 1875096 1875068

<skiped>

router#show flash:

System flash directory: File Length Name/status

1 15947076 c2600-advsecurityk9-mz.124-21-shad-pk.bin [15947140 bytes used, 830072 available, 16777212 total] 16384K bytes of processor board System flash (Read/ Write)

Остаетсяещеоднанебольшаяпроблема. Еслизапуститьпроверку:

router#verify flash:c2600-advsecurityk9-mz.124-21- shad-pk.bin

— маршрутизаторобругаетнас, сообщив, чтоEmbedded hash и Calculated hash несовпадают. Исправитьэтооченьпросто— 16 байт контрольнойсуммынаходитсявсамомконцебинарногофайлаобраза. Обнаружитьэтоможнодажеспомощьюпростогопоиска:

Послеисправлениямаршрутизаторсообщает, чтоконтрольнаясумма успешноподсчитанаисовпадает:

Embedded Hash MD5 : 3DD2C6591FF4F033425147DE4540F9CD Computed Hash MD5 : 3DD2C6591FF4F033425147DE4540F9CD CCO Hash MD5 : 79020945BDFE2A354E012C8303136360

Embedded hash verification successful.

File system hash verification successful.

ЛОГИЧЕСКОЕЗАКЛЮЧЕНИЕ

Новыйобразготовиправильносформирован. Усвоивэтустатью, ты получишьопыт:

1)поформатуPKZIP;

2)поформатуисполняемыхфайловELF;

3)повнутреннемуустройствуобразовCisco IOS;

4)поработеврежимеrommon маршрутизатора.

Крометого, готовзаделдлядальнейшихизвращенийнадмаршрутизаторами. Дляобщегоразвитияможнопоковырятьраспакованныеобразыв IDA, изучитьвирусыв*nix-like системах, чтобыпроинфицироватьобраз своимбекдором, нуисобственно, написатьбекдор. A моиизысканияздесь успешнозаканчиваются. Всевопросы, пожеланияи, вособенности, идеи, мойдорогойдруг, яготовполучитьпоэлектроннойпочте. Срадостьюотвечу ипомогупомересил. Удачивбинарномпатчинге... инетолько.z

+

ГОДОВАЯ ПОДПИСКА ПО ЦЕНЕ

Единая цена по всей России. Доставка за счет издателя, в том числе курьером по Москве в пределах МКАД

ВНИМАНИЕ! ВТОРОЕ СПЕЦПРЕДЛОЖЕНИЕ!

Приподпискенакомплектжурналов

ЖЕЛЕЗО+ ХАКЕР+ DVD:

- Одинномервсегоза155 рублей(на25% дешевле, чемврозницу)

Подписка на журнал «ХАКЕР+DVD» на 6 месяцев стоит 1200 руб.

ВЫГОДАГАРАНТИЯСЕРВИС

КАК ОФОРМИТЬ ЗАКАЗ

1. Разборчиво заполните подписной купон и квитанцию, вырезав

их из журнала, сделав ксерокопию или распечатав с сайта www.

glc.ru.

2. Оплатите подписку через Сбербанк .

3. Вышлите в редакцию копию подписных документов — купона и

квитанции — любым из нижеперечисленных способов:

по электронной почте subscribe@glc.ru;

по факсу 8 (495) 780-88-24;

по адресу 119021, Москва,

ул. Тимура Фрунзе, д. 11, стр. 44,

ООО «Гейм Лэнд», отдел подписки.

ВНИМАНИЕ!

Подпискаоформляетсявденьобработкикупонаиквитанциивредакции:

в течение пяти рабочих дней после отправки подписных документов в

редакцию по факсу или электронной почте;

в течение 20 рабочих дней после отправки подписных документов по

почтовому адресу редакции.

Рекомендуем использовать факс или электронную почту, в последнем

случае предварительно отсканировав или сфотографировав документы.

Подписка оформляется с номера, выходящего через один кален-

дарный месяц после оплаты. Например, если вы производите оплату в апреле, то журнал будете получать с июня.

>> взлом

Power in from car

Power out to PC

Asus WL-500G Deluxe собственнойперсоной

Автомобильныйадаптер-инвертор12 В-220 В. Способен тянутькомпьютер300 В

links

•openwrt.org —

дистрибутивОС linux дляточек доступа.

•dd-wrt.com — дру-

гойвариантдистрибутиваОСlinux для точекдоступа.

•code.google. com/p/winchain —

средстваразработкидляiPhone под

Windows.

•oxod.ru — мой блог. Пишупомере желания. Ждукомментариев, отвечу навопросы.

warning

Внимание! Информацияпредставленаисключительно сцельюознакомления! Ниавтор, ниредакциязатвои действияответственностиненесут!

Послеустановкизаливаемпрошивкунаустройство:

tftp 192.168.1.1 tftp> binary tftp> trace

tftp> put openwrt-brcm-2.4-squashfs.trx

Ждем, покаиндикаторпитанияперестанетморгать (завершитсяпроцессзаписивROM). Воттак, простоибез приключений, мыподготовилиплатформудлядальнейших изысканий. Теперьперейдемнепосредственнокнастройке. Выполняемкоманды:

#~telnet 192.168.1.1

#~passwd //устанавливаем пароль #~exit //отключаемся

#~ssh root@192.168.1.1 //первый раз эта процедура займет около минуты или двух — неторопливое устройство создает ключевые пары. Если время ожидания SSH-клиента истечет — повтори попытку подключения через пару минут

#~ipkg update //обновляем базу пакетов

Возможно, передпоследнейкомандойпридетсяещенастроитьподключениекинтернету. Настройкаинтерфейсов происходитчерез/etc/config/network. Еслинадонастроить PPPoE, создайвконфигетакоеправило:

НаэтомбазоваяустановкаОСзакончена. Дистрибутивуже включаетвсебяDHCP-сервер, SSH-сервериSSH-клиент. Дальнейшаянастройказависитоттипаатаки.

ДЕЛАЙРАЗ. ВКУСНАЯТОЧКАДОСТУПА

Теперь основная задача — заставить пользователя iPhone подключиться к нашей точке доступа. Мы должны сделать ее наиболее привлекательной, сулящей неслыханную халяву и т.д. Первое, что приходит на ум

— поставить SSID, который точно привлечет внимание любого пользователя. Например, взять существующие имена бесплатных WiFi-сетей. Для правдоподобности можно работать в режиме моста с настоящей точкой доступа, подключенной к интернету. Тогда пользователь будет иметь полноценный выход в глобальную Сеть, параллельно с этим попадаясь на все наши дальнейшие уловки с DNS (я же не зря перечислил его в требова-

ниях!). Для максимального эффекта предварительно просканируй все сети, действующие в том районе, где будешь производить испытания, и выдели наиболее популярные точки доступа. Затем поставь своему устройству MAC и SSID, как у самого популярного хот-спота. Если ты окажешься ближе к пользователю, уровень сигнала от тебя будет выше, и ты получишь клиентов, привычно подключающихся к знакомой сети. Простейший конфиг беспроводного интерфейса /etc/config/ wireless выглядит так:

Последнийштрих— настройкаDHCP-сервера. Мыже должнысоздатьдляклиентовмаксимальнокомфортные условияработывнашейсети:).