- 从固件入手讲解物联网设备

扫了320个文件，Nothing vulnerable found，啥也没发现~~。不过木事，算是简单的验证了下RIPS的本事，因为网上已爆出了dlink dir-300系列的一些漏洞。比如这个信息泄露漏洞，漏洞出现在suashfs-root/www/model/__show_info.php文件中，如下图所示。

这里看到已经禁止了$REQUIRE_FILE的参数为var/etc/httpasswd和var/etc/hnapasswd。这么一看无法获取账号密码。但是我们可以从根路径开始配置httpasswd的路径，就可以绕过这个过滤了。Payload:

localhost/model/__show_info.php?REQUIRE_FILE=http://www.eefocus.com/var/etc/httpasswd
这里设置REQUIRE_FILE=http://www.eefocus.com/var/etc/httpasswd 成功绕过上面的 if判断，进行任意文件读取。这类漏洞看来还是得配合人工审计进行发现。那现在问题来了，已经找到的弱点，如何进行验证呢。

固件模拟

固件模拟的环境，笔者搭过，当时觉得很烦杂，本打算着写脚本来自动实现。不过，这也有人实现了，并打包成了虚拟机，可直接使用。 AttifyOS ，了解一下，国外大牛打包的。下载后，在tools/firmadyne中，运行程序，模拟dlink dir-300固件运行，命令为：

python fat.py ./DIR-300_REVA_FIRMWARE_1.06B05_WW.zip

如上图所示，当模拟出网卡，代表固件模拟成功。我们就可以试一下是否存在上面发现的脆弱点。先来看看web漏洞，在浏览器中运行：

192.168.0.1/model/__show_info.php?REQUIRE_FILE=http://www.eefocus.com/var/etc/httpasswd

如上图所示，口令已经找到，用户名为admin，密码为空。以得到的口令尝试登陆，顺利进入到web系统，如下图所示。

那么，再来看看，telnet的口令是否能成功。先用nmap扫描，看是否开启了telnet服务，如下图所示。

如上图所示，23端口已经打开，表明telnet服务随系统开启了，那么尝试telnet登录，如下图所示。

telnet给出了链接信息，感觉已经连上，但是没要求输入口令，执行命令也未回显。telnet服务似乎存在问题，想要进一步验证，可以下dir-300其他版本的固件，也可以买一个设备回来测。不过，虽然没有成功，但整个过程已清楚。下面给出整个过程用到的工具，本文的安装环境搭建和使用到的工具，见如下链接：

https://github.com/scu-igroup/firmware_analysis

github上工具文件结构：

change_sources.sh……….….更换Ubuntu系统源和pip源脚本

Install_full_binwalk……………安装完整版binwalk

firmwalk………………….....….固件分析工具

rips……………………………...PHP源码审计工具

总结

到此，固件安全分析的内容已讲完，看似内容比较简单，但对于刚入门来说，已经有相当的工作量了。光是分析环境搭建这一关，若对Linux不熟，都得费一些功夫。不过，耐心地一步一步来，总会有所得。本文，写了多个脚本程序，辅助大家搭建分析环境，同时，使用了多个工具来辅助进行固件脆弱点发现，也讲解了如何使用固件模拟的方式来验证脆弱点。对于高级的漏洞发现，那就靠自己不断地学习与分析了。在此，本文仅作抛砖引玉，欢迎大家一起讨论，并推荐一些好的固件分析方法，方便大家一起学习。