Philippe Laulheret - Introdução ao Hacking de Hardware - Conferência DEF CON 27

[0:00] >>Sem mais delongas, porque estamos dentro do cronograma. Philippe está aqui, uh, de uh, de Portland, vindo da uh, França pelo que entendi. E ele vai falar para, falar para nós sobre uh, invadir dispositivos embarcados, incluindo telefones, uh, telefones que você pode ter na sua mesa no trabalho, telefones que podem estar, eu nem vou entrar nisso, telefones que podem estar por aí. Vamos aprender sobre hacking de dispositivos embarcados. Vamos dar uma grande salva de palmas para Philippe. [Aplausos]. Divirta-se, cara. >>Obrigado. Obrigado a todos um, então estou muito empolgado por estar aqui, é uma grande honra e um, sim, então hoje vamos falar sobre hacking de hardware e um, vou mostrar a vocês esta introdução e espero um, poder mostrar um pouco de carinho sobre um, hacking de hardware. Então uh, quem sou eu? Sou Philippe Laulheret um, sou pesquisador sênior de segurança na McAfee, um, Advanced Threat Research. Então eu, eu faço um, pesquisa de software e hardware de telefones, e você pode me encontrar no Twitter em PHLaul. Antes de trabalhar na McAfee, passei 2 anos fazendo uh, segurança embarcada e antes disso eu era Desenvolvedor C++. Então eu

[1:03] não, não venho de um, de um background de software na verdade. Então você pode se perguntar, por que você deveria se importar com um, hacking de hardware em primeiro lugar? Certo? Um, consigo ver dois motivos principais uh, primeiro é que é realmente divertido e empoderador poder um, você sabe, quebrar, abrir um dispositivo que você gostaria de ter em casa no trabalho onde quer que seja. E em vez de considerar que é uma caixa preta, você pode, em vez disso, sabe, começar a mexer nele e entender como funciona. E então de uma forma mais pragmática um, se, se considerarmos a segurança nos últimos dois anos uh, o software está se tornando cada vez mais difícil de quebrar. Como se você tentar uh, eu sei, pwn tipo uh, qualquer tipo de um, dispositivo de mídia como um servidor web, encontrar, encontrar uma vulnerabilidade no servidor web por si só é meio difícil. Com, se em vez disso você puder simplesmente abrir o dispositivo, soldar alguns fios e obter um shell a partir disso, isso é muito mais fácil. Então hacking de hardware é ótimo, porque também tem muitos uh, frutos baixos basicamente. Então uh, hoje, vamos falar sobre uh, telefones Avaya um, e especialmente o 9. A foto do telefone no lado direito do slide é um modelo 9611g. Uh, então a Avaya é tipo uma das maiores uh, VoIP

[2:08] um, provedor de soluções que você pode encontrar em todo lugar. Uh, o Google é tipo 90% da Fortune 100 e acho que esse modelo específico de telefone começou em 2006, e vai ter vida útil suficiente tipo no final do ano ou algo assim. E o engraçado um, no canto inferior direito dos meus slides tem essa engraçada tipo um, capturas de tela de tipo uma página de tipo um firmware de software muito antigo para esses telefones. Onde um, na verdade tipo, você pode ver que um, você só pode baixar esse firmware específico, se você for tipo um cliente do DOD então um, basicamente então, uh, veja que esses telefones vão para muitos lugares diferentes. Então uh, estamos obtendo arte prévia. Uh, em hacking de hardware, é tipo muita informação hoje em dia na internet, tipo você, você pode encontrar muitos posts de blog, tutoriais um, sempre tem tipo a Hardware Hacking Village que vocês todos vão, vão conferir. Uh, CTF também onde você pode tipo praticar, uh, tipo o lado mais soft das coisas e um, nos meus slides, eu tipo um monte de links no final uh, então você pode tipo baixar os slides depois e um, também os slides uh, eu tipo, o que eu enviei eu tipo, mais texto neles. Então é tipo

[3:11] mais tipo autônomo. Então você pode ler mais um, e sim, eu li isso em segurança uh, eu encontrei tipo 2 RCs no mesmo uh, telefone uh, algo tipo cinco anos atrás ou algo assim, um, e eles tipo falam na RSA chamado Stepping P3wns eu também recomendaria conferir online. Então uh, pelos próximos 40 minutos um, então vou falar sobre um, hacking de hardware e usar esse telefone como base para tipo apoiar essa conversa. Um, E basicamente a ideia de toda a situação é um, uh, tipo alguns de tipo, 12 anos atrás, talvez uh, via Fox e códigos de código aberto, e um, eles nunca aplicaram patches de segurança nisso. E um, acontece que tipo eu, mexendo no dispositivo, descobri isso e foi tipo, mulheres tipo despercebido por tipo 10 anos como eles estavam tipo na verdade tipo um CV que foi lançado tipo, sim 10 anos atrás para Defcon. Então vou falar sobre uh, como eu descobri que tipo aquilo era tipo algum tipo de estupidez tipo você sabe Deus dentro daquele firmware. Mas mais interessante, eu acho, é uh, falar sobre todo o processo, você sabe, tipo, como eu fiz isso, um, e por que eu fiz o que fiz Por quê? Oops, desculpe.

[4:15] Por que eu fiz as coisas que fiz quando fiz um, você sabe tipo, mágica tipo compartilhar um, o processo para que. E você sabe, também tipo compartilhar uh, sabe, e se as coisas que eu tentei não funcionaram ou, ou seleção de coisas que não funcionaram, porque, você sabe o quê, o que funciona para um dispositivo pode não funcionar para outro. E ter apenas tipo esse modelo mental do que podemos fazer e do que você não pode uh, ajuda muito ao abordar qualquer tipo de dispositivo. E é isso, eu realmente acho que é o que quero que as pessoas tirem dessa palestra é mais tipo um, aprender o processo de que você pode conferir tipo qualquer dispositivo que você tenha. E sim, queremos tipo insistir que um, se eu posso fazer isso, acho que todos nesta sala podem fazer também. Como eu disse, sou mais de tipo background de software, e o hacking de hardware ainda é tipo, você sabe, tipo um, um pouco assustador, um pouco estranho para mim, mas no final, realmente não é tão difícil se você tiver tipo um bom processo e você sabe, eu trabalhar com paciência. Então uh, como todo o projeto começou uh. Um, uh, para ser honesto, eu estava tipo, você sabe, trabalhando no trabalho, e havia tipo todas essas baias, na, em cada mesa, eu vejo esse tipo de telefone tipo parado na, na mesa. Eu tipo, espera um minuto, esses telefones estão rodando Linux, eles têm você sabe, acesso à rede, eles têm tipo

[5:17] microfones e coisas tipo, como, quão seguro é isso? Você sabe, tipo, eu sei, você, você se pergunta tipo, o que há com isso, as pessoas consideraram a segurança disso? Então um, o primeiro passo antes de você saber mesmo tipo, eu ainda tipo roubando o telefone do meu colega e desmontando, você pode tipo, e isso geralmente [inaudível], você pode conferir os sites da FCC geralmente tipo qualquer dispositivo que tenha Wi Fi ou Bluetooth, tem que estar um, no site da FCC por uma razão de conformidade. Então, foi isso que encontrei. Um, Esse não é meu telefone. Esse é tipo um, também modelo das mesmas marcas, basicamente e tipo bem próximo. Então você vê todas essas fotos legais. Mas mais interessante é o, o interior do telefone. Uh, então podemos então vê-lo e no lado esquerdo em vermelho, em vermelho um, eu destaquei esse tipo de conector de depuração aleatório, não sei o que é, mas é interessante ver que está lá. E no lado direito um, tem tipo aquilo, tipo um, em roxo tem aquela memória flash. Então é aí que geralmente o sistema de arquivos do telefone vai ser armazenado. E o ponto principal disso é apenas ter uma ideia do que esperar, você sabe, antes mesmo de abordar um alvo real, tipo construir hardware e tal. Então um, você, você sabe, tipo se vai ser um alvo fácil ou difícil

[6:23] hã, você sabe, se tudo estivesse coberto com epóxi preto, isso seria mais difícil. Então outro passo importante é tipo descobrir, hã, obter tipo hã, material online, tipo hã, você sabe, hã, folheto de marketing, para você ter uma ideia do que o telefone, quais são as capacidades do telefone no ecossistema ao redor dele, para que você tenha uma ideia da hã, você sabe, tipo da superfície de ataque. E você também pode encontrar tipo manuais de usuário e tal. E por exemplo, eu encontrei um que era bem legal. É tipo um manual de usuário, tipo um manual de usuário avançado que diz, ah, se você quiser uma conexão serial com o telefone, você precisa daquela caixa esquisita. E hã, sim, o que é interessante, ele ensina, ele nos diz que sim, você pode encontrar, é conexão serial e você pode ter tido algum hardware especial para isso, mas, vamos ver isso daqui a pouco. E hã, depois disso, você também quer verificar tipo formulários e hã, para que você possa descobrir o que usuários ruins estão fazendo, tipo por exemplo, eu encontrei tipo as senhas padrão do telefone na interface de depuração, porque hã, e administrador do sistema. Então aqui, hã, falando hã, falando sobre isso online. E hã, se você tiver sorte, você também pode baixar se você tiver mais uma ideia do hã, do que está lá em cima. E aí nós vamos

[7:23] cobrir isso em um minuto. Ok, então hã, o que fazemos agora, hã, agora temos uma ideia de tipo, como pode ser por dentro. Esta é uma palestra de hacking de hardware. Então vamos fornecer voluntários e o ponto é tipo você abrir o telefone primeiro. Hã, e o truque é tipo, geralmente você sempre espera encontrar as mesmas coisas por dentro. E hã, se você olhar os rótulos dos componentes, você vai ver hã, você, e você pesquisa no Google isso hã, você vai descobrir tipo o que é. Então por exemplo esse é meu telefone, e hã, você pode ver o centro da CPU a, acima dele tipo a RAM, numa cor tipo lavanda, tipo algum conector não populado que eu marquei com um ponto de interrogação. Isso, eu acho que do mesmo jeito, tem os que a gente estava tipo vendo na imagem antes e eu, pode ser JTag, eu não precisei usar. Então eu não sei na verdade. Hã, no próprio, temos tipo as Eeproms que é hã, com o todo tipo algumas configurações e tal. Hã, em azul escuro na parte de baixo do hã, do slide é tipo um RJ45 com chave. Então eu estava meio, meio confuso quando olhei para aquilo. E eu nem sabia o termo para isso. E a ideia é só um RJ45 normal, hã, tipo plugue de internet, mas com um hã, conector estranho para que você não possa plugar as, as coisas erradas nele. Hã, e hã, mais interessante

[8:26] em amarelo hã, as UARTs. Então é UART é tipo o console serial e hã, temos tipo esses especialistas tipo hã, pads. E então geralmente tipo em manufatura ou algo assim você teria tipo pinos pogo que tipo geralmente se conectariam aos pads. E esse hã, esse é na verdade muito interessante, porque você encontraria tipo console serial, você esperaria encontrar o console serial nisso. E na parte de trás, podemos ver a flash NAND que vimos na imagem anterior. E hã, sim, a partir disso é tipo onde o sistema de arquivos estaria, tipo armazenado no, no dispositivo. Então ok, você tem hã, você, olhamos as coisas por dentro e a, a tipo, outra coisa interessante de se olhar são pontos de teste e cabeçalhos de depuração. Então, e tipo basicamente todo esse tipo de coisa nesses componentes. E você pode perguntar, por que você esperaria encontrá-los por dentro? E algumas razões tipo uma é tipo, geralmente tipo a placa de desenvolvimento que, que os caras vão usar é a mesma que a placa de produção. E talvez eles não, só não vão remover os outros componentes de depuração. É o mesmo que se você tipo software, e ele foi compilado com tipo símbolos de depuração, por exemplo. E hã, também tipo parte do processo de manufatura hã, você, esses pontos de teste e tal podem ser usados para tipo gravar

[9:30] o dispositivo, ou garantir que ele foi gravado corretamente. E às vezes, você sabe, tipo algo morreu hã, no, no, no mundo real. E eles querem tipo fazer uma autópsia para entender o que aconteceu. E isso é útil também. Então que tipo de coisa você quer procurar nessa situação? Você quer olhar UART que a gente tipo olhou antes. JTag que eu vou, hã, cobrir tipo em um minuto. E aí, tipo você também pode ter tipo ponto de teste aleatório que estão relaxando ali, que tipo por toda parte, hã, por toda a mesa, por toda a placa. E pode haver tipo pontos de teste longos, er, tipo rótulo, tipo TP1, TP2, sei lá. E às vezes isso, isso pode ser tipo não interessante para você, mas às vezes, você pode encontrar coisas interessantes tipo, hã, você pode descobrir que tipo, ah, se você der um curto tipo TP64, hã, com o terra vai resetar o dispositivo, o que pode ser realmente útil em certa medida. Então hã, olhando UART, hã, então como eu disse, é para tipo conexão serial. E vem em tipo 3 ou 4 pinos. Os 3 pinos serão hã, terra hã, transmissão e recepção. E o quarto pino seria tipo DCC, então 3 volts, 5 volts sei lá. E geralmente você não se importa com esse, você nem quer plugar, você não precisa. E pode hã, sim, e hã, o, o truque para saber é hã, o serial

[10:36] console hã, alguns dados em velocidade diferente. E há apenas tipo alguns deles, chamados tipo Baudrates. E havia apenas tipo alguns hã, valores comuns de baud rate, então se você tentar plugar seu, seu sistema no, na UART, e você só vê lixo na tela, o, provavelmente o motivo é, você só está com o baud rate errado e você poderia tipo tentar percorrer tipo todos os possíveis, possíveis e encontraria algo eventualmente eu acho. Hã, JTag é outro que é hã, interessante hã. Então isso é para tipo depuração de hardware e maneiras que você poderia, tipo, você sabe hã, depurar a CPU geralmente, e executar tipo instrução por instrução e tal. E ele, eles vêm em muitos formatos diferentes hã, números de pinos e tal. Então alguns exemplos tipo na parte de baixo dos slides hã, mas na verdade só alguns fios são interessantes e hã, no final dos slides eu tenho tipo um link para um artigo sobre tipo entender melhor o JTag. Mas basicamente, tipo, se você olhar no canto superior direito hã, dos meus slides, tem tipo uma placa de desenvolvimento e digamos tipo um conector JTag legal hã, plugado ali. E por outro lado, tipo no canto inferior direito, é tipo algum hã, dispositivo aleatório que eu

[11:38] estava olhando, que você pode ver, deveria haver um JTag, mas nunca foi soldado e então eu tive que soldar diretamente nessa coisa. E o truque para lembrar aqui, se você tipo soldar seu próprio conector, é hã, você na verdade pode ter que adicionar tipo resistores extras chamados tipo resistores pull up e pull down que conectam tipo um pino ao terra ou um pino tipo ao VCC. E o objetivo disso é, na verdade, eu não sei o objetivo disso, mas hã, a razão é que se você não tiver eles, pode não funcionar bem ou é mais trabalho na maioria das vezes, vai ficar instável. Então hã, e se você seguir as instruções de tipo, por exemplo tipo uma especificação arm, de tipo qual resistor você precisa, então, você pode pular eles, mas aí você pode perder tempo tipo entendendo por que é um estranho, tipo estranhamente fodido às vezes. Então eu recomendaria os resistores pull up e pull down. Então essa é só uma placa aleatória que meu colega de trabalho estava olhando hã, só para mostrar que o que eu disse é na verdade bastante genérico. Hã, no lado esquerdo, temos tipo UART. No lado direito tem tipo alguns conectores JTag. Hã, lá em cima está o mmm, o primário ali é tipo, a CPU principal, sei lá o que está sob tipo um escudo. E geralmente você, você faz isso para hã, prevenir hã, interferências. Então

[12:43] é tipo um módulo Wi Fi, então é por isso. E a coisa boa de saber é que geralmente o escudo é aterrado. Então tipo, se você está procurando o terra na sua coisa, você tipo, ou o escudo nesse tipo de coisa, ou tipo a carcaça ao redor da porta Ethernet ou sei lá também é, na verdade tipo bastante útil. Então hã, agora que aprendemos como hã, olhar dentro das coisas, precisamos saber qual hardware você precisa para hã, interfacear com o que está dentro. Então eu vou apresentar tipo um monte de hã, ferramentas de hacking legais que são importantes. Então a primeira hã, você pode querer esse pino ou tipo os adesivos, eu não sei se você está familiarizado com isso hã, na verdade, tipo, o que é realmente importante é tipo, segurança. Hã, então você sabe, não trabalhe com coisas que estão plugadas na parede. Hã, lembre-se de despluggar as coisas trabalhando tipo em sala bem ventilada, é importante. E hã, sim, só não seja estúpido quando você está tipo hã, mexendo com hardware hã, mas sim. Então próximo hã, foto do laboratório hã, eu estou segurando um hã, ferro de solda. Você geralmente pode trocar a ponta por tipo uma ponta bem grande para tipo solda grande e umas pequenas para solda pequena. Eu tenho um microscópio, então isso é realmente útil para fazer hã, solda minúscula. E o truque é eu, eu costumo beber muito café e eu tremo, então

[13:47] eu vou, eu iria, eu estava pensando tipo eu não conseguiria fazer isso, mas na verdade, se você hã, se você for cuidadoso e o, o truque é tipo realmente tentar hã, você sabe, quando você solda, tipo tentar manter seu braço tipo reto e bem apoiado. E sob o microscópio, você pode na verdade fazer um monte de coisas que é, você simplesmente não pensa, você não conseguiria usar, você pensaria que não deveria ser capaz de fazer, mas você na verdade, na verdade consegue. [Expira], desculpe, hã. Canto superior direito hã, é mais na verdade usado para a solda minúscula e o hã, meio superior direito é tipo fluxo, então é tipo hã, cola mágica, mágica hã, substância grudent, é uma substância que você coloca nos hã, pinos para hã, quando você começa a fazer montagem superficial ou pads para que funcione muito bem. Então não, nunca esqueça o fluxo. Hã, embaixo está hã, sa, tipo, no mesmo hã, tamanho, tipo hã, fios de cobre, tipo um fio de metal que você usa, geralmente para fazer códigos, você sabe, tipo para rádio ou sei lá. Hã, e o truque é que o, o fio é na verdade hã, revestido com hã, verniz para não dar curto. E você pode usá-lo para fazer tipo solda ponto a ponto realmente minúscula, e isso é na verdade muito útil. E logo ao lado, você tem tipo um pouco de

[14:48] malha de dessoldagem. Então tipo, a ideia é, se você colocar solda demais e você ferrar tudo hã, você pode colocar a malha em cima do bloco de solda que você bagunçou e você hã, coloca o ferro de solda em cima disso, vai ficar muito quente, então você quer segurar através tipo da carcaça plástica e vai absorver toda a solda extra. E você pode limpar suas coisas. Aí eu coloquei uma foto de tipo alguns fios jumper aleatórios que são, são, ou geralmente, sempre úteis de se ter. E no canto inferior direito, eu tenho tipo aquela pistola de calor maluca. Hã, é tipo 60 dólares no Home Depot. É destinada a tipo, ajudar a tinta a secar ou algo assim, não tenho certeza, mas é na verdade muito útil se você estiver no chip, se você quiser remover componente só tipo aquecendo eles e puxando eles para fora. Então hã, mais hardware legal hã, que é um multímetro. Hã, se você não está familiarizado com isso, é fácil para, encontrar a voltagem do chip que você não conhece, tipo qual é a voltagem real, então o preto vai para o terra e o, com o vermelho você hã, com o branco provavelmente seleciona cutucando para hã, medir a voltagem. E havia uma coisa muito legal é que você pode configurar no modo de continuidade e quando você tem tipo conexão entre as duas pontas de prova, ele apita. Então se você fizer

[15:51] tipo um trabalho de solda porcaria, como eu estava descrevendo pouco antes, você pode garantir que realmente fez um trabalho adequado, onde tipo tudo está conectado do jeito que você pensa, sabe, garantindo que ambos os lados, quando você provavelmente, os dois lados realmente apitem. E isso é uma ferramenta bem útil, na verdade. A outra é, isto é um Analisador Lógico. O nome é tipo um Sally, hã, isso é uma marca. E a ideia é a mesma que no software, você tem tipo formas de comunicação entre processos, tipo no hardware, você tem tipo formas de comunicação entre chips ou a CPU e o chip. E é, hã, é tipo um monte de padrões diferentes, formas diferentes de fazer as coisas. Mas o analisador lógico tipo conhece muitos deles e vai converter tipo um monte de sinais que estão passando nos fios em dados reais. E isso é realmente muito útil. Esse seria os seus olhos, tipo quando você está fazendo, hã, depuração, sabe.

[16:32] E isso é tipo a sua captura de tipo alguma comunicação SPI, hã, que espiona com algum protocolo aleatório. Hã, isso é tipo um cabo FTDI, também vem em muitos, hã, cabo serial, vem em muitos formatos diferentes e tal. E a ideia é tipo, quando você quer fazer tipo UART, você, você pluga isso no seu notebook, e você conecta o lado do usuário tipo na porta UART e você tem tipo um console, ele aparece como uma porta serial. E, hã, como exemplo eu tenho, hã, no canto inferior direito, hã, tipo um raspberry pi que, você consegue na verdade acessar o console serial e você não precisa tipo de cabo HDMI nem nada para interagir com ele. Uhu. Hã, o Bus Pirate, hã, também é tipo um dispositivo legal, hã, ele faz, hã, Ele, é, é meio que dependente do hardware hacking, hã, desculpa, com o, hã, o analisador lógico Sally, então em vez de absorver dados, ele tipo envia dados, então ele fala um monte de protocolos diferentes e você pode usar Python para programá-lo. Então é extremamente útil se você quer tipo ler flash, programar, hã, microcontroladores e esse tipo de coisa. Hã, mais coisas legais que eu cobri. Eu estava falando sobre JTag, esse é o depurador JTag que você, é aí que você plugaria na verdade tipo a porta Digitech. Eles

[17:38] vêm em muitas faixas de preço diferentes e tal. Então no canto inferior direito está um fly swatter, é tipo, provavelmente tipo 30 dólares, eu acho. E funciona bem, e acima dele é tipo um J Link, que é mais chique. E a ideia é tipo, quanto mais caro o negócio, mais, provavelmente mais confiável ele é. E vem com tipo software melhor e tal. E no canto inferior direito, os corpos rosa são o JTagulator, que o Joe Grand, o mesmo cara que fez aqueles crachás, hã, fez. E é realmente incrível. Então, se você tem tipo aquela placa, você não sabe o que é até tipo um monte de pontos de teste e você tipo, aposto que tem algum JTag em algum lugar nela, mas você não sabe onde. Você pode simplesmente ligar tipo todos os pontos de teste ao JTagulator e ele vai fazer força bruta tipo e tentar encontrar tudo. Então é muito legal. Hã, essas são ferramentas interessantes, importantes, são os, hã, leitores de Flash. Então geralmente o conteúdo da Flash, a Flash como o sistema de arquivos e tal. E, hã, então você quer tipo interagir com isso. E, hã, vem em dois sabores, eu acho, você pode fazer tipo coisas em circuito. Então você tem tipo ou tipo o seu pequeno tipo grampo que você coloca no chip ou um pequeno retangular, hã, para encaixar. Hã, então tipo o Raspberry Pi é bom para isso. E no

[18:42] canto superior direito, é tipo um flash cat, hã, é tipo útil para o retangular. Hã, mas você também pode tipo, escolher tipo, na verdade dessoldar o chip e, nesse caso, você teria tipo algum adaptador de soquete. Então você pode encaixar o chip e então você pluga no seu Flash cat e tal, e ele vai ler. E isso, eu vou cobrir tipo por que, o quê, meu, o quê, por que isso é importante tipo ambos em um minuto. E finalmente, é meio que a, hã, última, hã, esperança. Então digamos, hã, você sabe que sua Flash está criptografada, não há UART, não há firmware. Então você pode tentar fazer tipo as coisas mais malucas como, injeção de falhas e tal ataque. Então esse é o chips whispers, tipo mais tipo um dispositivo difícil, mais badass. E a ideia com isso é, hã, ele, você pode fazer coisas tipo, hã, você o liga, hã, à CPU e você vai derrubar a energia na CPU por tipo uma fração de segundo e ele vai tipo bagunçar alguma instrução e você pode contornar verificações e tal. Isso é pro, o que as pessoas usam para tipo hacking de consoles de videogame e, e, hã, esse tipo de coisa. Então, hã, o que fazemos agora, hã, que temos uma ideia do que tem dentro do celular e, hã, você sabe, hã, as ferramentas que podemos usar. Então tipo, eu acho que são três

[19:47] caminhos potenciais, um é mexer com a UART, então o console serial, e este é, hã, mexer com a flash e tentar recuperar o firmware ou algo assim e então talvez você possa simplesmente baixar o firmware online. E os três são tipo abordagens válidas e às vezes é bom simplesmente ir de uma para outra para outra e você sabe, o que quer que você encontre tipo algum hardware você pode tipo ir de uma para outra. Hã, então eu fui para a UART primeiro e é isso que me recebe quando eu conecto meu cabo FTDI nas portas UART que eu, eu estava fazendo antes. Então, hã, podemos ver que no lado esquerdo, o, o, hã, o negócio do console, é tipo ponto ponto ponto, geralmente quando você vê isso, você pode pressionar espaço ou escape e ele vai interromper o processo de boot do celular. E nessa situação, hã, mas de alguma forma aqui não funcionou. E eu, eu vou cobrir por que em um minuto. E no lado superior direito do slide, hã, podemos ver tipo ele leu algo da EEPROM e então decidiu definir o console para Dev null. Então você não quer que o console seja Dev null porque se isso não vai a lugar nenhum. Mas é interessante saber que, hã, há algum potencial ali. E finalmente, é tipo inicializando em seguida, então ele con, confirma para nós que é uma porta uniques, mas então, hã,

[20:48] não há mais nada, hã, depois disso. Então há algumas coisas boas, coisas ruins. Os problemas são tipo nada aparece depois que o Linux está, como fizemos, provavelmente por causa da situação do Dev null. E quando eu pressiono teclas estão falando e, hã, eu vou tipo aparecer com tipo, por que isso aconteceu. Então naquele ponto, eu ainda estava tipo, ok, eu, eu não posso ir a lugar nenhum. Então eu vou tentar recuperar o firmware para tentar entender o que está acontecendo com isso. Hã, várias formas de recuperar firmwares, hã, é tipo uma forma fácil, tipo você pode fazer online. E na verdade isso funcionou, hã, há tipo uma captura rápida disso, hã, às vezes é criptografado. No nosso caso, não era. Hã, mas, é. Então você também pode tentar farejar uma atualização de firmware, hã, isso é realmente útil para dispositivos IoT em geral. E você pode usar uma aba de rede, que é tipo a coisa mostrada no canto superior direito do slide. Hã, ou você pode espelhar sua porta no seu switch ou algo assim. Hã, o problema com tudo isso é que muitas vezes uma atualização de firmware vai ser feita tipo via, h, HTPS, ou pode ser, neste caso, você está tipo preso. E então você quer ir para tipo algo mais tipo, hã, hardware hacking ou tipo você vai despejar uma flash, por exemplo. E tipo

[21:48] técnicas ainda mais avançadas que eu vou brevemente tipo, hã, falar sobre. Então como você despeja uma flash? Há duas formas, como eu estava mencionando, pouco antes, você pode fazer programação em circuito e, hã, fora do circuito. Então em circuito é legal, porque você não precisa, sabe, tipo remover coisas, quebrar coisas. Mas alguns problemas são que, hã, a ideia principal é ler a flash, você precisa alimentar a flash. E se você, se ela ainda está tipo plugada no sistema inteiro. Hã, ele, quando você está tipo com o Raspberry Pi, por exemplo, vai tentar ler a flash, ele vai tentar, tentar alimentar tipo tudo o mais que está conectado na mesma tipo linha de energia. E ou você sabe, o USB Pi não é forte o suficiente para alimentar tipo um telefone VoIP, o que você esperaria. E nesse caso, hã, mas simplesmente não vai funcionar. Ou talvez seu Raspberry Pi seja realmente forte e vai conseguir, mas então o problema é que a CPU começa a inicializar e vai conversar com a flash e isso vai bagunçar suas coisas. Então nessa situação, você tem tipo duas escolhas geralmente, ou você pode tentar tipo levantar o pino, os pinos de bola, para que isso não aconteça. Ou você pode meio que ir com uma abordagem um pouco mais tipo heroica onde você quer manter a CPU em reset. Então eu tive sucesso com isso muitas vezes

[22:51] ou eu simplesmente tipo começo tipo tentando aterrar tipo pontos de teste aleatórios, de coisas nas placas, rezando para que não vá encontrar nada. E geralmente em, em algum momento tipo, eu vou notar que ok, quando eu faço isso o celular tipo acende, não inicializa, isso é bom. E talvez melhores formas você pode dessoldar o chip com tipo uma pistola de calor ou algo assim. Você tem que ter cuidado, porém, porque se você tipo puxar com muita força, você pode tipo entortar pinos e vai ficar tipo inútil. Hã, um bom truque para saber é que você pode fazer um pequeno tipo, hã, chapéu de alumínio ou algo assim, tipo no chip, para que tipo quando você estiver aquecendo o chip, tipo as coisas ao redor, não fiquem quentes demais. Er, para que você não acidentalmente tipo derrube tipo alguns tipo componentes minúsculos, que seriam tipo um pé no saco para, hã, recolocar. E, hã, no canto inferior direito é tipo eu estava, eu estava, eu pensei que teria que fazer isso no celular. Então eu queria praticar primeiro e então simplesmente peguei tipo um pen drive USB aleatório e tentei. E na verdade, isso funcionou muito bem, legal. Mas o truque é lembrar, eu também coloquei um pouco de fluxo porque ajuda. E, hã, é, só não, tenha cuidado com, quando você tirar. Alguns outros truques que na verdade não funcionaram neste aqui. Mas eu, bom saber. Hã, U-Boot é o bootloader mais comum, hã, não usado aqui, mas é, você encontraria

[23:56] isso em praticamente qualquer outro dispositivo. E a ideia é que você também pode instruir um processo de boot disso e pedir gentilmente, tipo, ei, você pode carregar a flash na memória, e então, hã, o U-Boot também é capaz de despejar em um Hex tipo na tela, hã. A, a memória, é assim, você pode simplesmente obter, escrever no script para fazer isso e recuperar tudo da flash, o que é realmente legal. Mas geralmente tipo os Dev não gostam de deixar você fazer isso. Eles disseram que bloqueiam essa abordagem, então, então você não pode tipo pressionar espaço para interromper o processo de boot. Mas há um truque que eu também chamo tipo de abordagem Yolo onde, em vez disso, quando. A ideia é tipo o U-Boot vai carregar da flash tipo o, o novo scanner ou algo assim. Mas se enquanto isso está acontecendo, você começar tipo a cutucar com, sabe, tipo um fio conectado ao terra e eles começaram a cutucar a flash NAND, tipo alguns dos pinos, vai bagunçar tipo o que o, o u-boot está lendo e depois de algumas tentativas, o u-boot vai ficar tipo, nossa, esse kernel está fodido, eu não sei o que fazer e vai te dar tipo um shell. Então isso é realmente legal. Mas é, como eu disse, esse não funcionou no nosso celular, infelizmente. Mas, hã, só alguns exemplos legais que eu encontrei online foi tipo um cara que na verdade fez isso. E, hã, eu sublinhei em

[24:59] hã, no tipo roxo, na, na parte de baixo, tipo o comando que você precisa usar para tipo registrar o, o, o flash na memória. E no lado direito, o bloco secundário de texto é hã, desculpa, é, como hã, você vai simplesmente entrar em pânico e ficar tipo, é, eu não sei o que fazer com o seu kernel e te dar o, o shell. Então hã, como hã, então mais algumas tipo truques para hã, dum, despejar o flash, então você pode usar JTag. Então geralmente você tem hã, se, se o JTag funcionar, você vai conseguir hã, despejar a RAM. Então nesse caso, isso não vai ser realmente tipo despejar o flash, vai envolver despejar o firmware, mas, em muitos dispositivos vai carregar a coisa toda nas memórias, então se você conseguir despejar a memória você está, vo, você, o mesmo meio que você está bem encaminhado aí. E meio que a última esperança com isso. Essa é uma das minhas favoritas sobre hacking de hardware é, você pode fazer coisas hã, malucas hã, e um exemplo é uma Scanlime hã, aquela pessoa na internet que hã, ela tinha um hã, um tablet Wacom do qual ela queria despejar o hã, o firmware e não havia tipo nenhuma superfície de ataque, até que ela percebeu que tipo quando você [inaudível] coisas de USB, e quando você pluga seu USB hã, nos laptops, há alguma troca de USB que eu

[26:01] não sei nada sobre, mas soa como descritor de USB. E se você, se você glitchar a CPU exatamente naquele momento, hã, vai tipo, sabe, perder tipo uma checagem binária e vai enviar muito mais dados. E com isso hã, ela conseguiu recuperar tipo o flash completo, a memória completa ou algo assim. Então é realmente impressionante, mas, e isso é o que é meio que incrível sobre hacking de hardware. Ok, então hã, nós recuperamos o firmware hã, no meu caso, só baixando online, mas, o que fazemos agora? Queremos analisá-lo. Hã, a melhor ferramenta para isso se chama Binwalk. E é basicamente um dicionário mágico que vai tipo olhar para o seu blob binário de coisas e ficar tipo, mmm, na metade dele parece que há um arquivo zip, vou tentar extraí-lo. Ele tenta, talvez funcione, talvez não dependendo se era realmente um arquivo zip ou não. E ele faz isso para tudo. E hã, ele também pode encontrar tipo sistemas de arquivos comprimidos como Squashfs, JFFS2 etc. E às vezes tipo o seu hã, seu arquivo de firmware pode simplesmente começar com tipo cabeçalhos Elf ou tipo código ARM aleatório que você poderia tipo, olhar. Então eu não tenho trabalhado nisso. Então esse é o arquivo de firmware, eu não sei ele do site.

[27:01] E mais uma vez, é modo fácil, é só um arquivo doc. E eles já tipo dividiram em boot 1, boot 2 e JFFS2. Então tipo, o Binwalk não tem nada a fazer aqui, realmente, e eu posso simplesmente extrair todo o sistema de arquivos. E isso é legal, porque a partir daí, eu posso olhar o que está no celular, assim desse jeito. Hã, mas o caso de uso mais interessante para o Binwalk é, eu peguei tipo um arquivo de firmware diferente para tipo, um celular [inaudível]. E esse aqui é bem mais interessante, porque o Binwalk encontrou tipo muito, muito mais coisas. E hã, eu destaquei, tipo você encontra o sistema de arquivos e consegue extraí-lo. E há também aquelas coisas aleatórias tipo de my SQL, que eu acho que é um falso positivo, então você precisa estar ciente de que haverá muitos falsos positivos, então não confie cegamente no que o Binwalk diz. E hã, uma coisa muito, muito engraçada que eu estava olhando hã, se você rodar strings naquela imagem específica hã, você vai encontrar strings de U-Boot. Então, aquele divertido está usando U-Boot e as coisas legais que eu estava descrevendo antes, na verdade funcionariam naquele, olha. Então agora que você extraiu o arquivo de firmware, o que você quer procurar? Uma das coisas mais hã, interessantes é hã, encontrar o vo, mecanismo de atualização. Então assumindo que você tem hã, firmware criptografado,

[28:04] tipo se você fizer engenharia reversa disso você pode encontrar as chaves e como extr, extrair tipo atualizações de firmware hã, subsequentes sem ter que fazer tipo, nenhuma coisa de hardware. E aí você quer procurar tipo segredos, como hã, senhas, certificados e assim por diante. Hã, originalmente, meu objetivo era olhar os binários principais. Então essa é só a coisa e lidar com tipo a pilha de VoIP. Hã, isso poderia fazer sentido olhar isso. E hã, também você quer olhar o bootloader porque, ele pode ter comandos ocultos, explicar por que todo o console não está funcionando, esse tipo de coisa. Então, lembre-se, o ponto de tudo isso era, eu queria obter um shell no dispositivo e hã, qual é o processo para fazer isso? Então, o que eu quero seguir é, eu quero consertar o console serial, sabe tipo o Dev null não era legal. Hã, mas também a abordagem seria tipo mexer com seus argumentos de boot. Hã, não funcionando aqui, obviamente. Hã, mas você sabe, você pode especificar o console que você quer e o, uniscript pode ser marcado, ah eu quero Bin bash como meu uniscript e você tem um console. Hã, e tipo coisas de último recurso que eu estava considerando também é, você poderia aplicar patch no firmware. No nosso caso o firmware é assinado. Então hã, isso não vai funcionar a menos que você tente glitchar, o que é realmente difícil.

[29:08] Mas você também pode tentar aplicar patch em um sistema de arquivos. Então do jeito que o Binwalk extrai as coisas de JFFS2, você poderia modificá-lo e então tipo reempacotar e gravar direto no flash. E isso geralmente é um método preciso e à prova de falhas tipo, isso funcionaria na maioria dos casos. Então em vez disso, eu vou hã, fazer engenharia hã, reversa hã, do Bootloader. E hã, para isso, hã, porque eu queria entender tipo, por que Dev null, um con, o console estava definido como Dev null e tal. Eu vou só cobrir hã, em muito detalhe e eu recomendaria que você confira os Tutoriais da Azeria Labs que cobrem tudo, o que é só útil aqui hã. Há essa noção em ARM de pool literal.

[29:44] Que é hã, dentro da seção de código, você encontraria algum pequeno pedaço de dados e isso geralmente é tipo usado para ca, carregar registradores, hã, endereços absolutos, valores imediatos, offset mágico, esse tipo de coisa. E hã, a propósito, tipo em cha, no caso de chamadas de função hã, os argumentos vão para R0 até R3. O valor de retorno está em RVO. E quando você tipo, quer retornar do seu chamador, é, o, o endereço de retorno é salvo tipo no registrador LR, que significa tipo registrador de link. Hã, e o grande truque, grande problema aqui é hã, nós estamos tipo tentando carregar o bootloader. Então é hã, não é realmente Elf. Então se você tentasse importar no IDA, o IDA não sabe o que fazer com isso e então você precisa encontrar o endereço de carregamento para essas coisas, para que corresponda a o quê, onde o celular está carregando. Alguns truques hã, então nenhuma das suas chaves de carregamento vai ser impressa na tela, esse é o nosso caso, ótimo. Hã, mas caso contrário, você quer olhar tipo arquivos de cabeçalho, cabeçalhos no, no arquivo do bootloader ou talvez vetores recentes, esse tipo de coisa para tipo, especificamente para ARM, tipo a CPU precisa saber hã, endereços específicos onde tipo, uma recess ou uma intrep acontece e é tipo engraçado tipo, quadrado tipo,

[30:50] como isso está sendo configurado. Então se você encontrar isso e encontrar tipo o que parece ser um manipulador de vetor de intrep ou algo assim, você pode encontrar tipo, ah, esse deve ser o endereço. E hã, finalmente, o pool literal que eu estava mencionando hã, realmente útil com um porque vai conter tipo endereços absolutos ou apontar para strings e tal. Então hã, se, se tipo você tem strings, e elas parecem todas f**didas, você provavelmente tem o endereço errado. E hã, Quarkslab, hã, que blog arrasador, então eu recomendaria que você conferisse. Então como eu disse, no nosso caso, foi fácil. Hã, quando ele inicializa ele imprime hã, o salto, seja lá o que for. E isso na verdade é WIFI carregado.

[31:21] E hã, no lado inferior direito, é tipo um monte de hã, strings hã, então é um monte de endereços que apontam para strings. Hã, o snapshot do sistema do IDA e hã, podemos ver que hã, hã, são todas as strings tipo imprimem bem, então isso significa que está carregado corretamente. Não está tipo todo bagunçado. Ok, então agora que temos o bootloader e podemos tipo trabalhar com ele no IDA, hã, queremos procurar strings hã, que estávamos olhando, sabe, tipo aquela frase tipo EEPROM read successful, seja lá o que for. Então podemos usar tipo referência cruzada no IDA para encontrar de onde a string vem e olhar a função que lida com isso. E hã, sim, só a título de informação, mas tipo EEPROM e Spi, então a EEPROM que está na placa se chama Spiprom e Spi é só um desses protocolos que eu estava mencionando antes. EEPROM é só hã, tipo uma pequena memória, hã, seja lá o que for. E o protocolo spi é só tipo 4 fios hã, e o ID para CPU em comando e EEPROM tipo responde, e hã, e isso é um dump de tipo usar o analisador lógico para dar uma olhada em como seria na vida real. Hã, essa é a folha de dados da EEPROM

[32:22] que você pode encontrar online, se você pesquisar no Google o, o rótulo nela. Hã, a coisa legal é que no canto inferior esquerdo hã, do slide, ele te diz tipo, os pinouts, então você como conectar coisas nela. E no lado direito do slide hã, ele te diz quais, quais, upcodes são para comando Spi que enviaria. Tipo por exemplo, se você enviar hã, 3 vai ser read, read, se você enviar 2, vai ser write. Então isso é hã, isso é algo útil de saber, certo? Oops, desculpa. Voltando ao hã, voltando ao IDA e ao hã, bootloader, podemos ver hã, as strings que estávamos tipo procurando. E algo que para mim é promissor é, podemos ver o hã, console definido como Dev null, mas acima disso, que eu poderia bur, 2 da opção e na verdade está dizendo tipo, ah, definindo console como tipo UART 0 ou UART 1. Então queremos que esses sejam impressos.

[33:08] Hã, essa é uma, essa é uma função que na verdade imprime aquela string. E hã, o que ela faz é mais ou menos hã, limpar, limpar alguns bytes na pilha. E então você lê para mim de um endereço mágico. E vai comparar tipo bytes hã, que acabaram de ser lidos. Quando se temos o valor bom, vai na verdade imprimir no console definindo, o console para hã, Dev ttyAMA0. Então queremos que isso aconteça. Hã, e algo que você pode me perguntar é tipo, ah, como você encontrou aquela função read EEPROM, sabe? E aí há tipo mais algumas maneiras de fazer isso. Hã, o jeito fácil que eu destaquei em verde, naquela captura de tela, é hã, no canto inferior direito, você pode ver algum tipo de log que diz, ah, EEPROM read fails. Então eu sei que aquela função é responsável por ler a EEPROM. Hã, mas talvez, talvez as poucas mais que eu vou olhar não sejam hã, tão hã, variáveis. Nesse caso hã, como eu disse antes, tipo, para ler de uma EEPROM você sabe que tem que enviar 3 via SPI. Então, se você encontrar tipo a função SPI, e você ver tipo enviando 3, você sabe o que é. Isso seja lá o que for destacado em amarelo. Mas aí tipo, como você encontra uma função spi nesse tipo de hã, programa? Hã, 2 maneiras para isso.

[34:07] Hã, meu palpite mais uma vez, foi logado, então foi fácil. Mas geralmente tipo, o truque principal é hã, você tem esse hã, algo chamado hã, IO mapeado hã, IO mapeado em memória. É esse tipo de valores de endereço mágicos na CPU que tipo se você escrever neles, na verdade vai enviar dados via tipo seu auto spi ou seja lá o que for. Se você tiver sorte, você vai ter uma folha de dados para a CPU. E ela especifica exatamente quais são esses endereços. Se você não tiver sorte hã, você tem que adivinhar e isso é realmente difícil. E, na hora, talvez você devesse tipo procurar outra coisa, ou só sabe, você vai gastar muito tempo nisso. Então queremos hã, aplicar patch na EEPROM agora, para que possamos hã, construir o console. O plano de ação é, nós sabemos os comandos de leitura, escrita hã, queremos interagir com o flash. Então para fazer isso hã, hã desculpa, a EEPROM, nós, nós hã, precisávamos tipo de um dispositivo spi hã, e que já vimos antes o Bus Pirate é um candidato perfeito para isso. E precisamos conectar ao chip, hã, infelizmente,

[35:09] como se fosse realmente minúsculo e então tipo o clipe que eu estava mostrando como tipo grande demais para aquilo. Você pode comprar online alguns rigs que as pessoas fazem, hum, é tipo, caro, e leva tipo cinco semanas para recebê-los. Então, em vez disso, eu meio que fiquei louco e tentei soldar tipo hum, fios pequenos na coisa. E eu fiquei tipo, honestamente, isso nunca vai funcionar, mas acabou que realmente funcionou. E isso foi tipo, legal. E uh, é tudo tipo parece uma cruz porque é tipo todo o fluxo que permanece naquilo. Hum, e esse é o código para o Bus Pirate. É super tipo boilerplate uh, coisa. E quando você apenas escreve hum, esses valores mágicos que uh, desculpe, me pediram para tipo, substituí-los por tipo, imagens. Mas uh, a ideia é tipo, logo depois disso você é recebido com o console definido para uh, tipo seu R0, e agora temos muito mais coisas uh, impressas no console, o que é ótimo. Mas infelizmente eu, eu fico tipo assim mais difícil tipo, as entradas ainda tipo não estão funcionando, eu estava tipo tentando pressionar espaço ou digitar tipo, é como, pedindo oh, você quer olhar como root? O que é, eu digito, nada acontece, tipo ah, o que aconteceu? Será que eu apenas cortei a trilha, então você não pode enviar dados? Temos as placas, podemos olhar

[36:09] para isso, hum. Então uh, isso é tipo, tipo um zoom na coisa, e naquele momento, eu estava tipo, você sabe, olhando para o pad UART e começando tipo com meu milímetro, tipo tentando apitar, tipo onde vai, você sabe, seguindo o teste de continuidade. E eventualmente chegou a alguns fios, tipo no lado direito, e fios são aquele buraquinho que conecta um lado da bola ao outro. Então o truque é a trilha real que conecta UART a qualquer uh, vai para o outro lado da placa e vai oh, para frente e para trás. E é tipo realmente, tipo tedioso. E eventualmente eu meio que perdi onde estava indo.

[36:39] Mas estava tipo embaixo daquela porta MOD, uh, que é tipo o RJ45 com chave. Hum, e então hum, lembre-se tipo do lado de recon uh, parte de recon, hum, temos aquela caixa e é tipo ah, droga, isso é, isso é a coisa. Então eu meio que fui pela minha abordagem euro de novo onde, eu estava segurando tipo um, um plugue, tipo um cabo jumper no meu hum, o transmissor do meu cabo FTDI. E uh, então eu tinha tipo esse fio que eu podia cutucar por aí. E do outro lado, eu estava tipo pressionando teclas no console tentando ver se algo acontecia. E enquanto isso, eu estava cutucando tipo os pinos um por um. E acho que no segundo, realmente funcionou. E fui recebido por uh, tipo um shell root no dispositivo. Então isso foi legal hum. Mas o truque foi hum, o, no lado direito de tipo uma configuração adequada, onde eu conectei meu cabo ethernet no plugue. Então naquele momento, eu não queria saber onde estava a chave do RJ45. Então eu estava tipo lixando o plástico do cabo ethernet para poder tipo enfiá-lo, e sim, simplesmente funciona, então isso foi legal.

[37:36] Uh, agora que temos um shell root, é tipo uh, um monte de strings de debug impri, impressas na tela e isso é irritante. Então hum, o gatilho foi tipo, eu quero matar o processo, é tipo, sha, isso está tipo inundando meu console. Uh, há um watchdog que vai reiniciar o dispositivo se isso acontecer, então eu destaco no canto, tipo os comandos mágicos que você pode executar para matar isso. É tipo apenas um material aleatório e único. Uh, então agora podemos finalmente fazer alguma pesquisa de Vuln. Hum, e realmente o que você vai fazer é olhar os processos em execução, cutucar por aí, olhar as portas abertas. Uh, há apenas um monte de processos, uh, coisas de novo sequel, mas hum, é aí que tudo fica interessante. Acho que em algum momento eu estava cansado de olhar no IDA e fiquei tipo, vou cutucar mais. E olhei para o DHClient e tipo huh, e a parte realmente engraçada tipo, eu executo o DHClient e vejo esse tipo 2007 copyright. Eu fiquei tipo, uau, isso não é uma coisa boa. E se você apenas executar o DHClient sozinho, ele dá Segfault, tipo isso é estranho. E se você tipo, executá-lo da maneira certa, eles imprimem uma mensagem de debug que diz oh, nós o modificamos para funcionar melhor no nosso dispositivo. Eu fiquei tipo, huh, isso é interessante. Então, se nós

[38:36] olharmos para trás, e procurarmos a versão específica, acontece que, 10 anos atrás, na verdade, para a DEFCON uh, Jon Oberheide hum, realmente é tipo um exploit para aquela versão específica do DHClient, então eu fiquei tipo, bem, isso é, isso é fácil. Hum, mas queremos ter certeza de que ainda é vil, ainda vulnerável. Então o hum, o telefone estava tipo fazendo tipo hum, Stack Overflow, tipo ao lidar com opções DHCP. Então podemos comparar o código-fonte original com o código-fonte corrigido porque o DHClient é open source. E apenas tenha em mente, isso pode ser tipo mitigação, tipo stack cookies, ASLR e tal. Então, se olharmos para o código vulnerável no lado esquerdo, podemos ver um memcpy tipo destacado em vermelho. Isso está usando tipo data.len como um campo. Ou na versão corrigida que colocamos, que por 4. Então a ideia é tipo, este bug é uh subnet, uh, é um bug na máscara de sub-rede e link, e a máscara de sub-rede deveria ser tipo 4 bytes. Mas, a maneira como a opção HTP funciona, é que você pode enviar até tipo 255 bytes, eu acho, e costumava simplesmente confiar tolamente, o que quer que você esteja enviando, o que é ruim. E se olharmos no IDA tipo a função real, uh, podemos ver que não há canário de pilha e o vinner, o, o, no

[39:39] esquerdo, no lado direito, é, não está usando aquele mágico 4, então é, é obviamente tipo ainda vulnerável. Então é simples explorar essas coisas. Hum, trabalhando no TDS do sistema operacional do telefone, eu fiquei tipo, vou tentar configurar o QEMU hum, se você não está familiarizado com QEMU é tipo uma emulação de coisas ARM ou tipo mini de sistema e pode fazer tanto tipo Userland ou Full-System. Userland não funcionaria aqui porque uh, DHCP é hum, mais vai, tentar modificar um IP e tal e isso não é legal. Hum, mas em vez disso, podemos fazer, fazer uma emulação Full-System e uh, aqueles tutoriais te ensinam como tipo, configurar uma correspondência de consulta para isso. E nós só queremos configurar a rede adequadamente, uh, porque queremos interagir com o DHCP e naturalmente hum, a pilha do QEMU te daria um digi, DHCP para você mesmo, então você tem que ficar tipo não faça isso e, sim. Então eu executo no DH no QEMU e depois tipo [inaudível] falha e ainda dá Segfault e é tipo, huh. Então acontece que tipo, a Avaya modificou coisas que na verdade causam o Segfault. E hum, eu ia voltar rápido demais, porque estou ficando tipo sem tempo. Mas uh, basicamente está criando aquele socket estranho, uh, é tipo

[40:42] um socket de nome e uh, então essa é tipo a aplicação principal com a qual a pilha VOIP pode falar com o DHClient e mostrar opções. Hum, e uh, a ideia é tipo, essa é tipo a aplicação principal, então podemos ver o que ela faz. Isso não é, não é super interessante. Mas basicamente no lado esquerdo, é tipo enviar dados para configurar o DHClient na inicialização e no lado direito, eu reimplementei isso em Python. E uh, você pode executar isso com tipo Socat, hum, então, Socat é tipo, tipo Netcat em hum, em mais tipo hum, mais ferramentas, então você pode compartilhar aquele socket de nome e a ideia, você executa o script Python no host, você no socket no hum, binário QEMU, imagem, e isso simplesmente funciona. Então agora podemos começar a depurar uh, DHClients, hum, você pode executar o GDB, podemos tentar tipo, realmente executar o bug. Eu faço, eu não consegui compilar a prova de conceito original, era tipo usar ferramentas realmente antigas e é tipo depois de tipo, hella, tipo algumas horas tipo, ah foda-se, estou cansado. Então, em vez disso uh, eu uso um exploit baseado em Scapy uh. Scapy é uma biblioteca Python que permite tipo, você sabe, mexer com uh, pacotes de rede, tipo em um nível bem baixo. E hum, então agora queremos tipo alcançar a hum, parte vulnerável, código vulnerável, então hum, eu

[41:47] estava explicando o bug na uh, opção de máscara de sub-rede. E como, a maneira como o DHCP funciona é tipo um chá, tag length value tipo tipo de coisa. Então você diz, Oh, esta opção é uma uh, máscara de sub-rede, aqui está o comprimento, aqui está o valor. E obviamente seria tipo, seria 4, mas se você enviar mais, tudo bem. Mas para as especificações do DHCP. E então podemos usar Scapy para fazer isso. Então uh, esse é o meu, tipo um pedaço do meu script Scapy e apenas o payload adequadamente é interessante. Hum, basicamente apenas enviando a opção de máscara de sub-rede com uh, dados que serão tipo A, A, A, A, B, B, B, B, C, C, C, C e assim por diante. Então isso hum, quando travar no GDB uh, podemos ver tipo todos os registradores que controlamos, e sabemos hum, exatamente hum, você sabe, se quisermos af, afetar qual registrador, qual pedaço do shell code precisamos mudar.

[42:33] E podemos ver que na verdade estamos controlando uh, [“pc’s” então o console do programa, então isso é bom. Sabemos que temos hum, podemos explorar, temos controle, controle para execução. E há tipo mais alguns detalhes que vou pular. Mas hum, precisamos sta, criar um shell code agora. Uh, infelizmente, tipo, parece que a pilha é uh, você não pode executar a pilha, então teremos que trabalhar nisso. E isso é tedioso. Mas hum, coisa legal é tipo se você procurar há tipo uma chamada de sistema, aquele binário que eu acho que também, a Avaya adicionou. E nós controlamos R4. Então se colocarmos nós, se pudermos colocar uma string na memória em um endereço que conhecemos, isso poderia ser um valor tipo, comentário do sistema, e colocar o endereço em R4, estamos bem. Hum, então se você pensar bem, cliente DHCP, DHClient, desculpe, recebe valores de configuração do servidor. Então provavelmente haverá coisas que são armazenadas em algum lugar e hum, acontece que o ASLR está desabilitado, eu, desculpe, esqueci de mencionar isso. Hum, mas então nós, a ideia é tipo, eu apenas tipo, enviando tipo A, A, A, A’s como tipo, um monte de uh, opções e então olhar na memória para ver se eu poderia encontrar aquela string em algum lugar. E eventu, eventualmente, a opção de domínio

[43:36] foi uma boa. E então hum, agora posso mostrar a você uh, uma demo legal que é, o que aconteceu quando você realmente executa tudo. Então uh, no, hum, no lado esquerdo, temos o telefone que está inicializando. O telefone está inicializando e a janela uh, a janela de 10 minutos é tipo, no lado esquerdo é um, cliente DHCP rog executando o payload. E no lado direito é hum, é um servidor web que uh, fornecerá tipo uh, coisas de pós-exploração tipo vida. Então podemos ver o pacote rodando. Para ter certeza de que funciona, eu estava uh, fazendo cat de dev random nas uh, nas telas. É por isso que parece ruído. Está buscando dados do hum, servidor web e e eu não sei se você pode ver, mas está carregando tipo steve.data. Uh, para sua informação, tipo, Steve é na verdade meu uh, chefe. É ele. [Risos] E uh, logo então hum, uh, ainda tipo ex, eu não sei se há som, mas estou ex-filtrando áudio do alto-falante principal. E você pode ver no VLC que quando estou falando e batendo palmas, está na verdade tipo lendo o áudio no laptop do atacante. Então isso é bem assustador porque você pode transformar seu hum, telefone em hum, você

[44:37] sabe, dispositivo de escuta. [Aplausos]. Obrigado. Então, é, e só para constar, tipo, todas as ferramentas que eu uso já estão no celular, tipo, você tem o Netcat, suas coisas para diminuir o áudio para tipo, SDN, então você, só, tipo, escrevendo algum shell script, tipo script bash, tanto faz. Então, é, como conclusão, uh, para mitigação, tipo, você quer ter certeza de monitorar sua rede para não ter tipo bugs enviando uh, você sabe, tipo pacotes DHCP estranhos. E uh, na verdade tipo o firewall do McAfee uh, tipo, consegue detectar isso. Só para constar, você quer segregar sua rede, é, para ter certeza de que, por exemplo, a cafeteira não consegue tipo enviar pacotes DHCP estranhos para o seu celular. E certifique-se de que a TI realmente atualize seu celular, porque você sabe, levou, é a nota de patch lançada tipo, a Avaya lançou um patch tipo um mês atrás. Então certifique-se de que está realmente corrigido. E uh, se você quiser pensar sobre por que esse tipo de bug aconteceu tipo, dados técnicos são realmente difíceis de lidar e, não [inaudível] alguém de boa-fé, é. Ok. É, alguém enfrentaria, é, embaçou as coisas e eles esquecem

[45:42] sobre isso. Então, é, e só como uma rápida, é, sistemas embarcados não são caixas pretas, então eu só encorajaria todo mundo a, é, olhar para eles e uh, você pode fazer isso agora também. Então, se você tiver dúvidas, uh, me pergunte no Twitter ou qualquer coisa e obrigado pelo seu tempo, pessoal. [Aplausos]