Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
激安Linuxボード G-cluster改造のすべて
Search
gpioblink
July 18, 2020
Technology
2
7.4k
激安Linuxボード G-cluster改造のすべて
gpioblink
July 18, 2020
Tweet
Share
Other Decks in Technology
See All in Technology
Raycast AI APIを使ってちょっと便利な拡張機能を作ってみた / created-a-handy-extension-using-the-raycast-ai-api
kawamataryo
0
210
30→150人のエンジニア組織拡大に伴うアジャイル文化を醸成する役割と取り組みの変化
nagata03
0
150
LINE NEWSにおけるバックエンド開発
lycorptech_jp
PRO
0
230
Goで作って学ぶWebSocket
ryuichi1208
3
2.7k
エンジニアリング価値を黒字化する バリューベース戦略を用いた 技術戦略策定の道のり
kzkmaeda
6
2.6k
【Findy】「正しく」失敗できる チームの作り方 〜リアルな事例から紐解く失敗を恐れない組織とは〜 / A team that can fail correctly by findy
i35_267
5
860
Ruby on Railsで持続可能な開発を行うために取り組んでいること
am1157154
3
140
開発組織を進化させる!AWSで実践するチームトポロジー
iwamot
1
340
Amazon Aurora のバージョンアップ手法について
smt7174
2
140
システム・ML活用を広げるdbtのデータモデリング / Expanding System & ML Use with dbt Modeling
i125
1
320
AWSではじめる Web APIテスト実践ガイド / A practical guide to testing Web APIs on AWS
yokawasa
7
660
Oracle Database Technology Night #87-1 : Exadata Database Service on Exascale Infrastructure(ExaDB-XS)サービス詳細
oracle4engineer
PRO
1
170
Featured
See All Featured
Building a Modern Day E-commerce SEO Strategy
aleyda
38
7.1k
XXLCSS - How to scale CSS and keep your sanity
sugarenia
248
1.3M
Fashionably flexible responsive web design (full day workshop)
malarkey
406
66k
The Cost Of JavaScript in 2023
addyosmani
47
7.4k
Reflections from 52 weeks, 52 projects
jeffersonlam
348
20k
JavaScript: Past, Present, and Future - NDC Porto 2020
reverentgeek
47
5.2k
[RailsConf 2023 Opening Keynote] The Magic of Rails
eileencodes
28
9.3k
Building a Scalable Design System with Sketch
lauravandoore
461
33k
KATA
mclloyd
29
14k
Git: the NoSQL Database
bkeepers
PRO
427
65k
10 Git Anti Patterns You Should be Aware of
lemiorhan
PRO
656
59k
How to train your dragon (web standard)
notwaldorf
91
5.9k
Transcript
激安Linuxボード G-cluster改造のすべて @gpioblink じぶりん
About me じぶりん @gpioblink 会津大学 学部3年 山田 快 ❖ 英語吹き替え版アニメは神
❖ ゲームは遊ぶより改造する ❖ 進捗出すために自己管理中 [好きなもの] 地球
使えなくなったハードを再利用するの大好き❤
趣味で電子機器の修理をしたりもします
今回の話の目標 ハードウェアハッキングの 楽しさを知ってほしい!!
G-clusterで学ぶ組み込みLinux入門 - 目次 講義編 • Gclusterって何? • GPLソースコードは読んでて楽しい 実演編 •
G-Cluster用のシェルを作る • Gclusterをリバースエンジニアリングして任意コード実行してみた
G-clusterで学ぶ組み込みLinux入門 - 目次 講義編 • Gclusterって何? • GPLソースコードは読んでて楽しい 実演編 •
G-Cluster用のシェルを作る • Gclusterをリバースエンジニアリングして任意コード実行してみた
Gclusterって何?
G-clusterは、次世代のクラウドゲーム機!!
G-clusterは、次世代のクラウドゲーム機!!
G-clusterは、次世代のクラウドゲーム機!!
G-clusterは、次世代のクラウドゲーム機!!
G-clusterは、次世代のクラウドゲーム機!! 終わってます。。
でも、ハード的にはそこそこのスペックで Cavium CNW6611L SoC 256MB NANDストレージ (1Gbit/SLC) 512MB メモリ(2Gbit/16bit DDR3
SDRAM) WiFi / USBポート / HDMI出力 UART(要分解)
でも、ハード的にはそこそこのスペックで Cavium CNW6611L SoC 256MB NANDストレージ (1Gbit/SLC) 512MB メモリ(2Gbit/16bit DDR3
SDRAM) WiFi / USBポート / HDMI出力 UART(要分解) 激安
でも、ハード的にはそこそこのスペックで Cavium CNW6611L SoC 256MB NANDストレージ (1Gbit/SLC) 512MB メモリ(2Gbit/16bit DDR3
SDRAM) WiFi / USBポート / HDMI出力 UART(要分解) 激安
つまり、gcluster = 格安Linuxボード Cavium CNW6611L SoC 256MB NANDストレージ (1Gbit/SLC) 512MB
メモリ(2Gbit/16bit DDR3 SDRAM) WiFi / USBポート / HDMI出力 UART(要分解)
つまり、gcluster = 格安Linuxボード UART(シリアル通信)して始めましょう
つまり、gcluster = 格安Linuxボード
つまり、gcluster = 格安Linuxボード 実演編では、任意コード実行できるように改造して G-clusterにセカンドライフをおくって貰います!!
G-clusterで学ぶ組み込みLinux入門 - 目次 講義編 • Gclusterって何? • GPLソースコードは読んでて楽しい 実演編 •
G-Cluster用のシェルを作る • Gclusterをリバースエンジニアリングして任意コード実行してみた
GPLソースコードは読んでて楽しい
LinuxのGPLソースコードの面白い点3つ 製品のコードを知れちゃう マルヒ情報もあったり 楽しいコード流用の世界
GPLは楽しい: 製品のコードを知れちゃう そもそもGPLライセンスとは
GPLは楽しい: 製品のコードを知れちゃう そもそもGPLライセンスとは ソー ス コー ドを 公 開 す
る 義 務 の あ る ライセ ン ス
GPLは楽しい: 製品のコードを知れちゃう そもそもGPLライセンスとは ソー ス コー ドを 公 開 す
る 義 務 の あ る ライセ ン ス
GPLは楽しい: 製品のコードを知れちゃう そもそもGPLライセンスとは ソー ス コー ドを 公 開 す
る 義 務 の あ る ライセ ン ス
GPLは楽しい: 製品のコードを知れちゃう 特に製品にLinuxを使ってると • LinuxカーネルはGPLライセンス • ブートローダーのU-BootもGPLライセンス • その他の低レイヤーレベルのOSSのコードもほとんどGPLライセンス
GPLは楽しい: 製品のコードを知れちゃう 特に製品にLinuxを使ってると • LinuxカーネルはGPLライセンス • ブートローダーのU-BootもGPLライセンス • その他の低レイヤーレベルのOSSのコードもほとんどGPLライセンス → 製品のほぼすべての
ソースコードを見ることができる!!
GPLは楽しい: 製品のコードを知れちゃう しかも、定義的にはこんな感じだから (Wikipedia)
GPLは楽しい: 製品のコードを知れちゃう しかも、定義的にはこんな感じだから (Wikipedia)
GPLは楽しい: 製品のコードを知れちゃう しかも、定義的にはこんな感じだから (Wikipedia) 心理的安全性を保ちながら解析もできる!!
GPLは楽しい: マルヒ情報を知れるかも GPLコードを漁ってると、 いろんなドキュメントが出て くることが
あとは適当にGPL漁ってると
あとは適当にGPL漁ってると
あとは適当にGPL漁ってると なんかConfidentialって書いてる
この他にも商用アプリ側のソースコードもざくざく
この他にも商用アプリ側のソースコードもざくざく
楽しいコード流用の世界 実はハードは同じ会社が作ってるらしく
楽しいコード流用の世界 実はハードは同じ会社が作ってるらしく メガドライブミニのコードの中に、 ファミコンミニのコントローラのkeymap用のコードの残骸が入っていたり。。。
楽しいコード流用の世界 実はハードは同じ会社が作ってるらしく メガドライブミニのコードの中に、 ファミコンミニのコントローラのkeymap用のコードの残骸が入っていたり。。。 残骸まみれの結構泥臭い世界 読んでて飽きない!!
楽しいコード流用の世界 実はハードは同じ会社が作ってるらしく メガドライブミニのコードの中に、 ファミコンミニのコントローラのkeymap用のコードの残骸が入っていたり。。。 残骸まみれの結構泥臭い世界 読んでて飽きない!! コード流用について詳しく知りたい方は HoneyLabさんの本よむのがおすすめです!
講義編のまとめ • G-clusterは、ゲーム機としては終わってるけど激安Linuxと して使える • 企業のプロダクトがのぞき見できるGPLソースコードは面白 い
G-clusterで学ぶ組み込みLinux入門 - 目次 講義編 • Gclusterって何? • GPLソースコードは読んでて楽しい 実演編 •
G-Cluster用のシェルを作る • Gclusterをリバースエンジニアリングして任意コード実行してみた
では、GPLコードをありがた〜く使いながら、 どんどん改造を進めていきましょう!!!
G-Cluster用のシェルを作る
シェルなんて簡単????? そんなことないわw
Gclusterのテレビ画面出力はremotectl_pipe経由
Gclusterのテレビ画面出力はremotectl_pipe経由 GUIを直接自由にいじれない。。。
でGPLコード読み漁ってみると。。。。 echo gc_warning Firmware found > /cavium/remotectl_pipe
でGPLコード読み漁ってみると。。。。 echo gc_warning Firmware found > /cavium/remotectl_pipe ここいじったら反映された!!
とはいえUSBキーボード取得できないので /dev/event1 からとれるキーボードのデータを見て
とはいえUSBキーボード取得できないので LinuxのカーネルとStackOverFlowを 参考にコードを書いて
とはいえUSBキーボード取得できないので
あとは頑張ってキーボード処理するコード書いて
できたもの
G-clusterで学ぶ組み込みLinux入門 - 目次 講義編 • Gclusterって何? • GPLソースコードは読んでて楽しい 実演編 •
G-Cluster用のシェルを作る • Gclusterをリバースエンジニアリングして任意コード実行してみた
無改造で任意コード実行までの道のり
ここまでいろいろ話してきましたが、、、 作成したプログラムの実行には、
ここまでいろいろ話してきましたが、、、 作成したプログラムの実行には、 殻割り&UART取り出しが 必須でした
ここまでいろいろ話してきましたが、、、 作成したプログラムの実行には、 殻割り&UART取り出しが 必須でした
ここまでいろいろ話してきましたが、、、 作成したプログラムの実行には、 殻割り&UART取り出しが 必須でした 100個も殻割りするの めんどくせ〜〜
そこで、かんがえた
本体を改造せずに、簡単にハックする方法があれば。。 そこで、かんがえた
とりあえず、安定のGPLコード読み返してみると
とりあえず、安定のGPLコード読み返してみると なんか USBでUpgradeできそうな 機能あるじゃん
とりあえず、安定のGPLコード読み返してみると なんか USBでUpgradeできそうな 機能あるじゃん
とりあえず、安定のGPLコード読み返してみると なんか USBでUpgradeできそうな 機能あるじゃん
とりあえず、安定のGPLコード読み返してみると なんか USBでUpgradeできそうな 機能あるじゃん
とりあえず、安定のGPLコード読み返してみると なんか USBでUpgradeできそうな 機能あるじゃん USBのルートに「cameo_factory」なるフォルダ作ってそこにイメージぶちこむと どうやらfwimgに投げてくれるらしい
とりあえず、安定のGPLコード読み返してみると なんか USBでUpgradeできそうな 機能あるじゃん USBのルートに「cameo_factory」なるフォルダ作ってそこにイメージぶちこむと どうやらfwimgに投げてくれるらしい USBメモリを挿して起動するだ けで、 任意コード注入できそう!!
しかし、そんな単純ではなかった。。
試しにGPLソースビルドして入れてみたら
試しにGPLソースビルドして入れてみたら アップグレード自体はできたけど
試しにGPLソースビルドして入れてみたら アップグレード自体はできたけど 署名がないせいでブートできなかった。。
試しにGPLソースビルドして入れてみたら アップグレード自体はできたけど 署名がないせいでブートできなかった。。 ここからは、この署名チェックの回避方法に 焦点をあてて説明していきます!!!
どうやって回避しよう • 頑張って本体から認証キーを取り出す(失敗) • fwimgまわりに別の脆弱性がないか探す(成功)
頑張って本体から認証キーを取り出す(失敗)
頑張って本体から認証キーを取り出す(失敗) ブート時にU-bootから呼ばれているソースコード静的解析して頑張ってみます
頑張って本体から認証キーを取り出す(失敗) ファームウェアのダンプ機能なんてないので、
頑張って本体から認証キーを取り出す(失敗) ファームウェアのダンプ機能なんてないので U-Bootの「md - memory display」機能で ダンプしてBinaryBlobに書き戻すw
頑張って本体から認証キーを取り出す(失敗) そして、それっぽいデータが取れました
頑張って本体から認証キーを取り出す(失敗) とりあえずGPLコードに入れてREADMEとか調べてみると
頑張って本体から認証キーを取り出す(失敗) とりあえずGPLコードに入れてREADMEとか調べてみると やっぱりご丁寧にGPLにDVUについての解説が!!
頑張って本体から認証キーを取り出す(失敗) とりあえずGPLコードに入れてREADMEとか調べてみると やっぱりご丁寧にGPLにDVUについての解説が!!
頑張って本体から認証キーを取り出す(失敗) とりあえずGPLコードに入れてREADMEとか調べてみると やっぱりご丁寧にGPLにDVUについての解説が!!
頑張って本体から認証キーを取り出す(失敗) とりあえずGPLコードに入れてREADMEとか調べてみると やっぱりご丁寧にGPLにDVUについての解説が!! dvu.binの中に鍵が入ってそう!!
頑張って本体から認証キーを取り出す(失敗) とりあえずGPLコードに入れてREADMEとか調べてみると やっぱりご丁寧にGPLにDVUについての解説が!! あ、これはリークではないんですね dvu.binの中に鍵が入ってそう!!
頑張って本体から認証キーを取り出す(失敗) それで、このdvu.binをghidraで静的解析してみたけど どこにも鍵っぽいのは見つからなかった。。。
頑張って本体から認証キーを取り出す(失敗) もう一度README見返したら
頑張って本体から認証キーを取り出す(失敗) もう一度README見返したら
頑張って本体から認証キーを取り出す(失敗) もう一度README見返したら
頑張って本体から認証キーを取り出す(失敗) もう一度README見返したら 解析は不可能じゃないけど、ちょっと大変そう。。 (CTFの問題が本当に使えるんだなと思った瞬間)
頑張って本体から認証キーを取り出す(失敗) というわけで、こちらは最後の手段として、 別の方法を考えていきます!
fwimgまわりに別の脆弱性がないか探す(成功)
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析 関数名とか自分でつけ直して、関数を推測していきました!!
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析 関数名とか自分でつけ直して、関数を推測していきました!! ① まずは「factory.img」ヘッダ部分からDSM232の文字列を確認して
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析 関数名とか自分でつけ直して、関数を推測していきました!! ②暗号化の有無によって条件分岐
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析 関数名とか自分でつけ直して、関数を推測していきました!! ③ 次はアプリケーションのインストール。ん、なんか実行してね?
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析 関数名とか自分でつけ直して、関数を推測していきました!! ③ 次はアプリケーションのインストール。ん、なんか実行してね?
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析 関数名とか自分でつけ直して、関数を推測していきました!! ③ 次はアプリケーションのインストール。ん、なんか実行してね? どうやらfactory.imgの最初のgunzipのblobをファイルにして、
fwimgまわりに別の脆弱性がないか探す(成功) こちらもソースコード非公開だったので、ghidraで静的解析 関数名とか自分でつけ直して、関数を推測していきました!! ③ 次はアプリケーションのインストール。ん、なんか実行してね? どうやらfactory.imgの最初のgunzipのblobをファイルにして、 その中のapp.shを実行している!!!!
わかったこと factory.img内にAppImageがあると、その場でその中のshが実行される (しかもfwimgはrootで動いてるので、普通にroot権限w)
わかったこと factory.img内にAppImageがあると、その場でその中のshが実行される (しかもfwimgはrootで動いてるので、普通にroot権限w) ⇓ それなら、シェルスクリプト内からsetenv叩いて、 U-Boot側に非署名ブートする設定を永続化できるのでは?
というわけで、署名チェック回避するブート書いて
というわけで、署名チェック回避するブート書いて セキュアブートの前に、署名チェックせずにブートを試す設定へ
署名チェック回避ブートを入れたイメージにしたら あとはこのfactory.imgをUSBメモリに書き込んで試してみると、、、、 元のイメージの前に、このバイパス用イメージを結合!
永続的な非署名コードの注入(CFW)に成功!! 起動時にこの画面の表示と共に、 Telnetを有効化する カスタムファームウェアを作りまし た!!
まとめ GPLソースコードよく読めばなんでもできる ハードウェアハッキングは楽しい!
おわり: みなさんもgclusterで解析に入門しよう!! https://github.com/gpioblink/build-dsm232-docker 大量にgcluster買って、 ネットラジオチューナー、 ネットワークプリンター、 Amazon dash 中継など みなさんも低コストを活かし
いろんなことに使ってみてください!!! ←dockerで簡単にGPLソースやCFW用ビルド できる環境作りました!ぜひご利用ください じぶりん @gpioblink