Взлом маршрутизатора Wi-Fi

В этом разделе мы нацелимся на прошивку оченьпопулярного марш- рутизатора,Netgear D6000.Сначала извлечем файловую систему про- шивки и найдем в ней учетные данные пользователя. Затем будем эмулировать работу прошивки в маршрутизаторедлядинамического анализа.

Чтобы найти прошивку, перейдите на сайт поставщика и откройте страницу поддержки для модели устройства (https://www.netgear.com/ support/product/D6000.aspx).Вы увидите списокдоступныхдля загрузки микропрограмм и программного обеспечения (рис. 9.2).

Рис.9.2.Страница поддержки Netgear D6000

250  Глава 9

$ mkdir d6000 && cd d6000

$ wget http://www.downloads.netgear.com/files/GDC/D6000/D6000_V1.0.0.41_1.0.1_FW.zip unzip D6000_V1.0.0.41_1.0.1_FW.zip

Команда wget –служебная программа Unix,которая загружаетфай- лы из интернета неинтерактивным способом. Без дополнительных аргументов wget сохранит файл в текущем рабочем каталоге. Затем утилита распаковки создает папку с именем D6000_V1.0.0.41_1.0.1_ FW, содержащую два файла: D6000-V1.0.0.41_1.0.1.bin, который явля- ется микропрограммой устройства, и D6000_V1.0.0.41_1.0.1_Software_ Release_Notes. Html, который содержит примечания поставщика для ручной установки этой прошивки на устройство.

После того как вы приобрели прошивку,можете протестировать ее на предмет проблем с безопас­ностью.

Извлечение файловой системы

Прошивка для большинства маршрутизаторов потребительского уровня содержит файловую систему устройства в сжатом формате. Иногда микропрограммное обеспечение сжимается несколько раз с использованием различных алгоритмов (таких как LZMA и LZMA2). Давайте извлечем эту файловую систему, смонтируем ее и поищем уязвимости безопасности­ . Чтобы найти файловую систему в файле прошивки,используйтеbinwalk,которыйпредварительноустановлен в Kali Linux:

$ binwalk -e -M D6000-V1.0.0.41_1.0.1.bin

Параметр -e извлекает из прошивки любой идентифицированный файл, такой как загрузчик и файловая система. Параметр -M рекур- сивно сканирует извлеченные файлы и выполняет анализ сигнатур для определениятипов файлов на основе общих шаблонов.Но будьте осторожны: если binwalk не в состоянии правильно определить типы файлов, он может переполнить ваш жесткий диск. Теперь у вас долж-

на появиться папка с именем _D6000-V1.0.0.41_1.0.1.bin.extracted,

куда записано извлеченное содержимое.

Обратите внимание, что мы использовали binwalk версии 2.1. 2-a0c5315. Некоторые более ранние версии не могли правильно из- влечь файловую систему.Мы рекомендуем вам использовать послед- нюю версию binwalk, которая доступна на GitHub по адресу https:// github.com/ReFirmLabs/binwalk/.

Взлом прошивки  251

~/d600/_D6000-V1.0.0.41_1.0.1.bin.extracted$ find . -name passwd

./squashfs-root/usr/bin/passwd

./squashfs-root/usr/etc/passwd

Используя команду ,, мы инструктируем инструмент Find (Найти) вести поиск в текущем рабочем каталоге файла,указанного парамет­ ром -name. В данном случае мы ищем файл passwd. Как видите, обна- ружились два файла с таким названием.

Двоичный файл bin/passwd не дает нам полезной информации в его текущем виде. Зато файл etc/passwd имеет читаемый формат. Его можно прочитать с помощью утилиты cat:

$ cat ./squashfs-root/usr/etc/passwd admin:$1$$iC.dUsGpxNNJGeOm1dFio/:0:0:root:/:/bin/sh$

Файл etc/passwd содержит текстовую базу данных, где перечисле- ны пользователи, которые могут пройти аутентификацию в системе. В настоящее время существует только одна запись, предназначенная для администратора устройства. Запись имеет следующие поля, раз- деленные двоеточиями: имя пользователя,хеш пароля пользователя, идентификатор пользователя, идентификатор группы, дополнитель- ная информация о пользователе,путь к домашней папке пользовате- ля; программа запускается при входе пользователя в систему. Обра-

тим внимание на хеш пароля ($ 1 $$ iC.dUsGpxNNJGeOm1dFio /).

Взлом учетных данных администратора устройства

Используйте hashid, чтобы определить тип хеша пароля администра- тора. Этот инструмент предустановлен в Kali Linux и может определять более220уникальныхтиповхешейспомощьюрегулярныхвыражений:

$ hashid $1$$iC.dUsGpxNNJGeOm1dFio/

Analyzing '$1$$iC.dUsGpxNNJGeOm1dFio/'

[+]MD5 Crypt

[+]Cisco-IOS(MD5)

[+]FreeBSD MD5

252  Глава 9

Взлом прошивки  253

$ find . -name *cfg

./userfs/profile.cfg

./userfs/romfile.cfg

./boaroot/html/NETGEAR_D6000.cfg

./boaroot/html/romfile.cfg

./boaroot/html/NETGEAR_D6010.cfg

./boaroot/html/NETGEAR_D3610.cfg

./boaroot/html/NETGEAR_D3600.cfg

Затем вы можете просмотреть файлы конфигурации для получе- ния соответствующей информации.Например,в romfile.cfg мы нахо- дим ряд жестко заданных учетных данных пользователя:

$ cat ./squashfs-root/userfs/romfile.cfg

…

<Account>

<Entry0 username="admin" web_passwd="password" console_passwd="password" display_mask="FF FF F7 FF FF FF FF FF FF" old_passwd="password" changed="1" temp_passwd="password" expire_ time="5" firstuse="0" blank_password="0"/>

<Entry1 username="qwertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyui opqwertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyui" web_pas swd="123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890 12345678901234567890123456789012345678" display_mask="F2 8C 84 8C 8C 8C 8C 8C 8C"/>

<Entry2 username="anonymous" web_passwd="anon@localhost" display_mask="FF FF F7 FF FF FF FF FF FF"/>

</Account>

…

Мы обнаружилитрех новых пользователей с именами admin,qwerty uiopqwertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyuiopq wertyuiopqwertyuiopqwertyuiopqwertyuiopqwertyuioponymous и anonymous с их соответствующими паролями в виде обычного текста.

Мы уже взломали учетные данные для учетной записи админи- стратора, но восстановленный нами пароль не соответствует ука- занному здесь. Вполне вероятно, что первый найденный нами па- роль будет заменен указанным в файле конфигурации при первой загрузке. Поставщики часто используют файлы конфигурации для внесения изменений, связанных с безопасностью­ , при инициали- зации устройства. Этот подход также позволяет поставщикам раз- вертывать одну и ту же прошивку на устройствах, которые поддер- живают различные функции и требуют определенных настроек для успешной работы.

254  Глава 9