VXWorks 固件 NOE-711 后门账号漏洞分析

VXWorks固件NOE-711后门账号漏洞分析

by zgd

2019年1月

以Schneider厂商的Quantum系列系列PLC的NOE-711以太网模块的固件为例，学习和了解一下基于VxWorks操作系统的嵌入式设备固件的一些常用分析方法。

（I）web配置app默认账户和密码的获取

github下载到含固件的文件：

 

fw/fw.ini文件中包含固件版本信息：

 

wwwroot/classes/内的jar文件是Web配置端APP文件

 

使用JD-GUI反编译软件对jar文件逆向分析，并搜索PASSWORD，直接找到了web配置app默认的用户名和密码。

 

（II）固件分析

通过（I）对文件进行分析知道wwwroot/conf/exec/NOE77101.bin是NOE77101的固件。下面对固件进行分析。

（1）固件解压

使用binwalk解压工具进行固件解压，发现使用的是Zlib压缩算法格式。从0x385位置后为Zlib压缩格式。

 

通过binwalk的-e参数进行自动提取后，binwalk会把自动提取后的文件以偏移地址命名，并存储。

 

通过WinHex直接查看二进制文件，发现0x385（十进制901）位置内容如下图：

通过查找资料发现：Pattern字节为78 9C为Zlib算法压缩格式；

1F 8B为gzip算法压缩格式；

5D 00 00 80为LZMA算法压缩格式；

Binwalk也是根据这种方式来判断文件格式的。