📃Firmware Analysis Process

DATE : 2024/05/12

안녕하세요, 한후입니다. :)

오늘 POST에서는 Firmware를 분석하는 과정에 대해 알아볼까 합니다.

"아니 Hardware Hacking 한다면서 갑자기 Firmware 분석을 왜 하나요?"

Firmware는 간단히 말해 Hardware device 내부에 들어있는 소프트웨어를 말합니다.

Router, Switch를 시작으로 스마트폰, 노트북, 데스크 탑 등 다양한 device에서 Firmware가 사용됩니다.

그렇다 보니 Firmware를 추출하고 분석할 줄 알면 활용 범위가 넓어지지 않을까요?? 😄

---

1_) Firmware 준비하기

당연한 말이겠지만 Firmware를 분석하기 위해선 Firmware가 필요합니다. (비장)

자신이 뜯어보고 싶은 Firmware를 선택하여 다운로드 해주시면 됩니다.

참고로, 저는 오늘 Router Firmware를 준비해왔습니다.

2_) AttifyOS -> BIN file

Firmware를 분석하기 위해 미리 준비해두었던 AttifyOS를 실행 시켜 줍니다.

편의 상 별도의 폴더를 하나 만들어주고 해당 폴더에 Firmware를 넣어줄 겁니다.

저는 router_firmware directory를 만들어 그 안에 Firmware를 위치 시켰습니다.

mkdir DIRECTORY_NAME

새로운 폴더(directory)를 만들기 위해선 mkdir command로 생성할 폴더 이름을 지정하면 됩니다.

mkdir command는 make directory의 약자로 위와 같이 directory를 만들 때 사용하는 명령어입니다.

❗만약 준비하신 Firmware가 ZIP 파일처럼 압축되어 있다면 압축을 풀어주시면 됩니다.

unzip ZIP_FILE_NAME

제 경험 상 압축을 풀면 그 안에 bin file이 들어있더군요!

3_) Binwalk

이제 분석할 파일 준비는 끝났으니 본격적으로 정보 수집에 들어가 봅시다.

여기서 잠깐 우리가 사용할 도구를 하나 소개할까 하는데요, 바로 binwalk라는 친구입니다.

터미널 창에 binwalk를 입력하면 binwalk로 실행할 수 있는 다양한 옵션을 확인해볼 수 있습니다.

binwalk도 Firmware를 분석하기 위해 사용하는 대표적인 도구 중 하나로

AttifyOS에 기본적으로 들어있기 때문에 따로 설치해줄 필요가 없습니다.

일단 기본적으로 Firmware가 어떻게 구성되어 있는 지 확인해보죠.

binwalk -t BIN_FILE_NAME

터미널에 위와 같이 명령어를 입력해줍니다.

명령어 실행 결과, 다음과 같이 여러 파트로 나누어진 위치 정보와 설명이 나옵니다.

맨 앞에 보이는 값이 위치 정보인데요

header, data, file system 등 원하는 부분만 쏙 뽑아내고 싶을 때 활용할 수 있습니다.

Description에서는 각 위치에 들어있는 게 무엇인지 알려줍니다. 여기서 눈 여겨볼 단어는

LZMA compression과 Squashfs입니다.

LZMA는 Firmware에서는 흔히 볼 수 있는 압축 방식 중 하나로

LZMA, Zip, Gzip, ARJ, Zilb

과 같은 압축 방식이 대표적이라고 하네요.

또한 file system에 관해서는 Squashfs에 더불어

SquashFS, CramFS, JFFS2, YAFFS2, EXT2

와 같은 File System이 대표적이라 합니다.

4_) File Extraction

자! 그럼 이제 Bin file에서 추출할 만한 건 모조리 뽑아내 봅시다.

binwalk -e BIN_FILE_NAME

이번에도 binwalk를 사용할 건데요, 파일을 추출하기 위해서 -e option을 사용해줄 겁니다.

명령어를 실행하면 BIN_FILE_NAME.extracted/ 라는 이름의 새 directory가 만들어진 걸 볼 수 있습니다.

뭐가 들어있는 지 directory 안으로 들어가 볼까요?

cd DIRECTORY_NAME

directory를 이동하기 위해서는 cd command를 사용합니다. cd command는 change directory의 약자로

현재 directory에서 다른 directory로 이동할 때 사용하는 명령어입니다.

추출된 directory로 들어가 보니 총 3개의 파일과 1개의 directory를 볼 수 있었습니다.

그런데 파일 이름이 숫자네요?? 70, 160090.squashfs..?

앞서 위치 정보를 유심히 보신 분이라면 이게 무엇인지 눈치채셨을 텐데요

binwalk에서는 파일 이름을 숫자로 부여합니다. 이때 부여된 숫자는

위에서 이미 확인했답니다? 😏

5_) squashfs-root directory 탐방하기

파일은 그렇다 치고, 들어가 보고 싶은 directory에 침입해봅시다..!!

cd squashfs-root

squashfs-root directory에 딱 들어갔더니..! 굉장히 익숙한 폴더 구조가 등장했습니다.

최상위 directory(root directory)로 이동하여 동일한 명령어를 입력하면

유사한 폴더 구조를 확인할 수 있습니다. 이처럼 File System을 추출하여 그 안의 구성물을 확인해 보면

root directory와 유사한 구조임을 알 수 있습니다.

그렇다면 이 안에서 어떤 정보를 얻을 수 있을까요?!

처음엔 /etc/passwd & /etc/shadow 파일을 열어 볼까 했는데 현재 두 파일은 link가 걸려있는 듯 합니다.

이 부분은 좀 더 공부한 다음에 건드려보도록 하죠.

(broken symbolic link.. 고치는 방법이 없을까요!?)

그럼 무엇을 할 것이냐!! 숨겨진 계정을 하나 찾아볼까 하는데요,

여기서 telnet 이라는 키워드를 활용해보려고 합니다.

grep -iRn "telnet" 

telnet 이라는 글자와 겹치는 내용을 알아내라는 명령어를 실행하면

위와 같이 "telnet"이 빨갛게 표시해 결과를 출력해줍니다.

주르륵 주르륵 읽다 보면 흥미로워 보이는 코드를 한 줄 발견할 수 있는데요 .

그 내용을 좀 더 자세히 보면 다음과 같습니다.

telentd -l /usr/sbin/login -u Alphanetworks:$image_sign -i br0 &

대충 코드 내용을 추측해 보면 /usr/sbin/login으로 Alphanetworks 계정에 로그인하겠다는 거 같네요.

이때 중요한 건 user의 계정인데요

id가 Alphanetworks인 계정으로 로그인하는데 비밀번호를 $image_sign에 담아두었습니다.

$image_sign에 어떤 내용이 들어가는 지 알아내기 위해 위의 코드가 적혀있는 파일로 이동합니다.

코드를 보면 운이 좋게도 image_sign에 어떤 값을 할당하는지 나와 있습니다.

/etc/config/image_sign 파일 내용을 읽어와 image_sign에 할당한다는 건,

해당 파일에 Alphanetworks의 비밀번호가 적혀 있다는 의미가 되겠죠?

바로 해당 파일로 이동하여 내용을 출력해주면! Alphanetworks의 비밀번호를 얻을 수 있습니다!!

다른 파일에도 비밀번호가 들어있는지 확인해 봤는데 xml 파일 여기저기에 적힌 거 말고는

image_sign file에만 들어있는 듯하군요!

참고로 Alphanetworks 계정은 Dlink와 관련해 비교적 최근에 발견된 취약점 내용과 연관이 있답니다!

D-Link Go-RT-AC750 hard-coded password

---

자! 그럼 Alphanetworks 계정을 알아내는 걸 마지막으로 오늘의 내용은 이 정도로 마무리해볼까 하는데요

File System을 추출하기까지 어떤 과정을 거쳤는지 다시 한 번 Remind!! 해보시면 좋을 거 같습니다!

그럼 다음 POST에서 만나죠!