手撕vigor固件解密复现历史漏洞
字数 2237 2025-09-23 19:27:46

Vigor固件解密与历史漏洞复现深度剖析

1. 知识点学习：固件分析基础

1.1 cpio文件格式认识

  • cpio：一种文件归档格式，常用于Linux初始内存磁盘（initramfs）
  • 特点：可存储文件属性、权限、 ownership等信息
  • 使用场景：嵌入式系统固件、Linux内核启动过程

1.2 initramfs详解

  • 临时根文件系统，在内核启动初期加载
  • 包含必要的驱动程序和工具
  • 用于挂载真正的根文件系统

1.3 ATF (ARM Trusted Firmware)

  • ARM架构的安全启动基础固件
  • 提供安全监控和硬件信任根功能
  • 采用分层设计：BL1/BL2/BL31/BL32/BL33

2. 固件镜像识别与分析方法

2.1 判断真正的固件镜像或内核的标准

2.1.1 文件格式和结构特征

  • 常见的固件格式：bin, img, trx, uImage, fitImage
  • 文件头特征：U-Boot头、TRX头、FIT头等
  • 文件结构：可能包含多个分区或镜像

2.1.2 处理器架构标识

  • ARM：ARM指令集特征、设备树结构
  • MIPS：MIPS指令集特征、特定寄存器模式
  • PowerPC、x86等架构的特定特征

2.1.3 Linux内核特征

  • 内核魔术字：0x016F2818 (小端) / 0x18286F01 (大端)
  • 压缩内核特征：gzip、lzma、lzo等压缩头
  • 内核版本字符串：通常在镜像中可搜索到

2.1.4 硬件驱动程序标识

  • 网络设备驱动特征
  • USB和存储驱动特征
  • 特定芯片组驱动标识

2.1.5 文件系统支持

  • SquashFS：sqsh魔术字
  • JFFS2：0x1985魔术字
  • YAFFS2、UBIFS等嵌入式文件系统特征
  • ext2/3/4、FAT等传统文件系统

2.1.6 设备树支持（ARM设备）

  • 设备树二进制格式(dtb)特征
  • 设备树源文件中包含硬件配置信息

2.1.7 引导加载程序特征

  • U-Boot：U-Boot头结构、环境变量
  • RedBoot、CFE等引导程序特征
  • 厂商自定义引导程序标识

2.1.8 厂商和设备标识

  • 路由器厂商特定字符串和模式
  • 版本信息、设备型号标识
  • 版权声明和厂商信息

2.1.9 文件大小合理性判断

  • 内核镜像大小通常在1MB-10MB范围
  • 完整固件大小与设备flash容量匹配
  • 各组成部分大小比例合理

2.2 分析工具和命令

binwalk - 固件分析工具，识别文件结构
hexdump/xxd - 十六进制查看工具
strings - 提取文件中的字符串
file - 识别文件类型
dd - 文件分割工具
grep - 模式搜索工具

2.3 判断结果分类

  • 确定是否为完整固件镜像
  • 识别固件类型和压缩方式
  • 确定处理器架构和字节序
  • 识别文件系统和分区结构

3. Vigor固件解密流程分析

3.1 ATF启动流程分析

3.1.1 阶段一：BL1 - 硬件信任根 (Root of Trust, RoT)

  • 芯片上ROM代码，不可修改
  • 验证BL2镜像的完整性和真实性
  • 初始化最基础的硬件环境

3.1.2 阶段二：BL2 - 第二阶段引导加载程序

  • 加载并验证BL31/BL32/BL33组件
  • 提供平台特定初始化
  • 建立安全执行环境

3.1.3 阶段三：BL31 - EL3运行时固件 (安全监视器)

  • 提供安全监控功能
  • 处理安全世界和非安全世界之间的切换
  • 管理安全服务

3.1.4 阶段四：BL32 - 安全操作系统 (可选)

  • 可信执行环境(TEE)如OP-TEE
  • 提供安全服务和应用运行环境

3.1.5 阶段五：BL33 - 正常世界引导加载程序

  • U-Boot或其他bootloader
  • 加载最终的操作系统和应用
  • 包含固件解密逻辑

3.2 固件解密具体步骤

3.2.1 定位fip.bin文件

  • FIP (Firmware Image Package)是ATF的标准封装格式
  • 使用binwalk分析固件，查找FIP结构
  • 提取fip.bin中包含的各个组件

3.2.2 解包fip.bin获取bl33

# 使用fiptool工具解包
fiptool unpack fip.bin
# 或使用dd根据偏移提取
dd if=fip.bin of=bl33.bin bs=1 skip=<offset> count=<size>

3.2.3 分析bl33中的加密逻辑

  • 逆向分析U-Boot或bootloader代码
  • 查找解密函数和密钥
  • 识别加密算法（AES、DES、 XOR等）

3.2.4 实现固件解密

  • 根据逆向分析的逻辑编写解密脚本
  • 提取加密数据部分
  • 应用解密算法得到原始固件

3.2.5 分析解密后的文件

  • 识别压缩特征（gzip、lzma等）
  • 解压缩获取文件系统
  • 分析文件系统内容

4. 漏洞分析：CVE-2023-31447

4.1 漏洞背景

  • 影响DrayTek Vigor系列设备
  • 存在于固件的特定组件中
  • 可能涉及身份验证绕过或命令注入

4.2 漏洞定位

  • 分析解密后的文件系统
  • 查找网络服务组件
  • 识别输入验证不足的代码段

4.3 漏洞利用

  • 构造特殊格式的请求
  • 绕过身份验证机制
  • 执行任意命令或获取敏感信息

4.4 修复方案

  • 输入验证和过滤
  • 权限最小化原则
  • 固件签名验证加强

5. 固件模拟与分析环境搭建

5.1 工具准备

  • QEMU：系统模拟器
  • Binwalk：固件分析工具
  • GCC交叉编译工具链
  • Python及相关逆向分析库

5.2 分析环境搭建

# 安装必要工具
sudo apt install binwalk qemu qemu-system git python3-pip

# 克隆分析工具
git clone https://github.com/rampageX/firmware-mod-kit.git
git clone https://github.com/attify/firmware-analysis-toolkit.git

# 设置环境
cd firmware-analysis-toolkit
./setup.sh

5.3 模拟运行

# 使用QEMU模拟运行提取的固件
qemu-system-arm -M virt -kernel extracted_kernel -initrd extracted_initrd -nographic -append "console=ttyAMA0"

6. 总结与最佳实践

6.1 固件分析要点

  • 始终从文件格式识别开始
  • 注意字节序和架构差异
  • 多层加密和压缩很常见

6.2 安全建议

  • 定期更新设备固件
  • 关闭不必要的网络服务
  • 使用强密码和认证机制

6.3 进一步研究

  • 研究其他DrayTek设备漏洞
  • 探索自动化固件分析技术
  • 参与漏洞披露和修复过程

注：本文基于提供的链接内容和技术社区知识整理，具体漏洞细节和利用代码请参考官方安全公告和授权环境下的测试。

Vigor固件解密与历史漏洞复现深度剖析 1. 知识点学习：固件分析基础 1.1 cpio文件格式认识 cpio ：一种文件归档格式，常用于Linux初始内存磁盘（initramfs） 特点：可存储文件属性、权限、 ownership等信息 使用场景：嵌入式系统固件、Linux内核启动过程 1.2 initramfs详解 临时根文件系统，在内核启动初期加载 包含必要的驱动程序和工具 用于挂载真正的根文件系统 1.3 ATF (ARM Trusted Firmware) ARM架构的安全启动基础固件 提供安全监控和硬件信任根功能 采用分层设计：BL1/BL2/BL31/BL32/BL33 2. 固件镜像识别与分析方法 2.1 判断真正的固件镜像或内核的标准 2.1.1 文件格式和结构特征 常见的固件格式：bin, img, trx, uImage, fitImage 文件头特征：U-Boot头、TRX头、FIT头等 文件结构：可能包含多个分区或镜像 2.1.2 处理器架构标识 ARM：ARM指令集特征、设备树结构 MIPS：MIPS指令集特征、特定寄存器模式 PowerPC、x86等架构的特定特征 2.1.3 Linux内核特征 内核魔术字：0x016F2818 (小端) / 0x18286F01 (大端) 压缩内核特征：gzip、lzma、lzo等压缩头 内核版本字符串：通常在镜像中可搜索到 2.1.4 硬件驱动程序标识 网络设备驱动特征 USB和存储驱动特征 特定芯片组驱动标识 2.1.5 文件系统支持 SquashFS：sqsh魔术字 JFFS2：0x1985魔术字 YAFFS2、UBIFS等嵌入式文件系统特征 ext2/3/4、FAT等传统文件系统 2.1.6 设备树支持（ARM设备） 设备树二进制格式(dtb)特征 设备树源文件中包含硬件配置信息 2.1.7 引导加载程序特征 U-Boot：U-Boot头结构、环境变量 RedBoot、CFE等引导程序特征 厂商自定义引导程序标识 2.1.8 厂商和设备标识 路由器厂商特定字符串和模式 版本信息、设备型号标识 版权声明和厂商信息 2.1.9 文件大小合理性判断 内核镜像大小通常在1MB-10MB范围 完整固件大小与设备flash容量匹配 各组成部分大小比例合理 2.2 分析工具和命令 2.3 判断结果分类 确定是否为完整固件镜像 识别固件类型和压缩方式 确定处理器架构和字节序 识别文件系统和分区结构 3. Vigor固件解密流程分析 3.1 ATF启动流程分析 3.1.1 阶段一：BL1 - 硬件信任根 (Root of Trust, RoT) 芯片上ROM代码，不可修改 验证BL2镜像的完整性和真实性 初始化最基础的硬件环境 3.1.2 阶段二：BL2 - 第二阶段引导加载程序 加载并验证BL31/BL32/BL33组件 提供平台特定初始化 建立安全执行环境 3.1.3 阶段三：BL31 - EL3运行时固件 (安全监视器) 提供安全监控功能 处理安全世界和非安全世界之间的切换 管理安全服务 3.1.4 阶段四：BL32 - 安全操作系统 (可选) 可信执行环境(TEE)如OP-TEE 提供安全服务和应用运行环境 3.1.5 阶段五：BL33 - 正常世界引导加载程序 U-Boot或其他bootloader 加载最终的操作系统和应用 包含固件解密逻辑 3.2 固件解密具体步骤 3.2.1 定位fip.bin文件 FIP (Firmware Image Package)是ATF的标准封装格式 使用binwalk分析固件，查找FIP结构 提取fip.bin中包含的各个组件 3.2.2 解包fip.bin获取bl33 3.2.3 分析bl33中的加密逻辑 逆向分析U-Boot或bootloader代码 查找解密函数和密钥 识别加密算法（AES、DES、 XOR等） 3.2.4 实现固件解密 根据逆向分析的逻辑编写解密脚本 提取加密数据部分 应用解密算法得到原始固件 3.2.5 分析解密后的文件 识别压缩特征（gzip、lzma等） 解压缩获取文件系统 分析文件系统内容 4. 漏洞分析：CVE-2023-31447 4.1 漏洞背景 影响DrayTek Vigor系列设备 存在于固件的特定组件中 可能涉及身份验证绕过或命令注入 4.2 漏洞定位 分析解密后的文件系统 查找网络服务组件 识别输入验证不足的代码段 4.3 漏洞利用 构造特殊格式的请求 绕过身份验证机制 执行任意命令或获取敏感信息 4.4 修复方案 输入验证和过滤 权限最小化原则 固件签名验证加强 5. 固件模拟与分析环境搭建 5.1 工具准备 QEMU：系统模拟器 Binwalk：固件分析工具 GCC交叉编译工具链 Python及相关逆向分析库 5.2 分析环境搭建 5.3 模拟运行 6. 总结与最佳实践 6.1 固件分析要点 始终从文件格式识别开始 注意字节序和架构差异 多层加密和压缩很常见 6.2 安全建议 定期更新设备固件 关闭不必要的网络服务 使用强密码和认证机制 6.3 进一步研究 研究其他DrayTek设备漏洞 探索自动化固件分析技术 参与漏洞披露和修复过程 注：本文基于提供的链接内容和技术社区知识整理，具体漏洞细节和利用代码请参考官方安全公告和授权环境下的测试。