DIR-882路由固件加解密

固件下载

下载固件https://support.dlink.com/resource/PRODUCTS/DIR-882/REVA/DIR-882_REVA_FIRMWARE_v1.10B02.zip，这里下载的版本为DIR-882

解压缩可以看到给了两个版本一个为加密版，一个为未加密版。

加密版

未加密版

固件解包

对未加密的版本进行解包

binwalk -Me DIR882A1_FW104B02_Middle_FW_Unencrypt.bin

在_DIR882A1_FW104B02_Middle_FW_Unencrypt.bin.extracted/_A0.extracted/_8AB758.extracted/cpio-root目录下可以看到目录结构

$ tree -d .
.
├── bin
├── dev
│   └── pts
├── etc
├── etc_ro
│   ├── l7-protocols
│   │   ├── not_commit
│   │   └── untested
│   ├── lighttpd
│   │   ├── lib
│   │   └── www
│   │       └── web
│   │           ├── captcha
│   │           ├── config
│   │           │   └── deviceinfo
│   │           ├── css
│   │           ├── hnap
│   │           ├── HNAP1
│   │           ├── image
│   │           ├── info
│   │           └── js
│   │               ├── bootstrap
│   │               │   ├── css
│   │               │   └── js
│   │               ├── ClientList
│   │               ├── configuration
│   │               ├── ipv6
│   │               ├── localization
│   │               ├── SOAP
│   │               └── wizard
│   ├── linuxigd
│   ├── onetouch
│   │   └── scripts
│   ├── ppp
│   │   ├── 3g
│   │   ├── peers
│   │   └── plugins
│   ├── usb
│   ├── web
│   ├── wifi
│   ├── Wireless
│   │   ├── iNIC
│   │   ├── RT2860AP
│   │   ├── RT2870STA
│   │   ├── RT61AP
│   │   └── WIFI3
│   ├── wlan
│   └── xml
├── home
├── lib
│   ├── firmware
│   ├── ipsec
│   └── modules
│       └── 3.10.14+
│           └── kernel
│               └── net
│                   ├── ipv4
│                   │   └── netfilter
│                   ├── nat
│                   │   └── hw_nat
│                   └── netfilter
├── media
├── mnt
├── private
├── proc
├── sbin
├── share
│   ├── man
│   │   ├── man1
│   │   ├── man5
│   │   └── man8
│   └── udhcpc
├── sys
├── tmp
├── usr
│   ├── bin
│   ├── codepages
│   ├── lib
│   │   └── pppd
│   │       └── 2.4.5
│   ├── local
│   │   └── ssl
│   └── sbin
├── var
└── www
    ├── rsstest
    ├── rssui
    │   ├── img
    │   └── public
    └── tmp -> /var/tmp

90 directories

寻找解密点

• 尝试在后端lighttpd中寻找相关字符串。

  $ sudo find . -name "*httpd*" | xargs strings | grep "firm"
  strings: Warning: './etc_ro/lighttpd' is a directory
  

  没有找到。

• 尝试在CGI中寻找相关字符串。

  $ sudo find . -name "*cgi*" | xargs strings | grep "firm"
  /tmp/firmware.img
  /bin/imgdecrypt /tmp/firmware.img
  /tmp/firmware.img
  mtd_write -r -w write /tmp/firmware.img Kernel &
  rm /tmp/firmware.img
  rm /tmp/.firmware.orig
  wget -O %s "http://wrpd.dlink.com/router/firmware/query.aspx?model=%s_%s_%s_FW_%s_%s"
  rm -f /tmp/firmware.img &
  http://wrpd.dlink.com/router/firmware/query.aspx?model=%s_%s_%s_FW_%s_%s
  /tmp/firmware.img
  /bin/imgdecrypt /tmp/firmware.img
  /tmp/firmware.img
  mtd_write -r -w write /tmp/firmware.img Kernel &
  rm /tmp/firmware.img
  rm /tmp/.firmware.orig
  wget -O %s "http://wrpd.dlink.com/router/firmware/query.aspx?model=%s_%s_%s_FW_%s_%s"
  rm -f /tmp/firmware.img &
  http://wrpd.dlink.com/router/firmware/query.aspx?model=%s_%s_%s_FW_%s_%s
  
  

  可以看到之中存在/bin/imgdecrypt，疑似解密的文件。

分析程序

$ file imgdecrypt 
imgdecrypt: ELF 32-bit LSB executable, MIPS, MIPS32 rel2 version 1 (SYSV), dynamically linked, interpreter /lib/ld-uClibc.so.0, stripped

可以看出此程序解密程序

int __fastcall decrypt_firmare(int a1, int a2)
{
  int result; // $v0
  const char *v3; // [sp+18h] [-1Ch]
  int i; // [sp+1Ch] [-18h]
  int aes_key[5]; // [sp+20h] [-14h] BYREF

  qmemcpy(aes_key, "0123456789ABCDEF", 16);     // aes_en_key
  v3 = "/etc_ro/public.pem";
  i = -1;
  if ( a1 >= 2 )
  {
    if ( a1 >= 3 )
      v3 = *(const char **)(a2 + 8);
    if ( sub_40215C((int)v3, 0) )               // 检查证书
    {
      result = -1;
    }
    else
    {
      sub_402554((int)aes_key);                 // aes加密
      printf("key:");
      for ( i = 0; i < 16; ++i )
        printf("%02X", *((unsigned __int8 *)aes_key + i));// C05FBF1936C99429CE2A0781F08D6AD8
      puts("\r");
      i = sub_401780(*(_DWORD *)(a2 + 4), (int)"/tmp/.firmware.orig", (int)aes_key);// 解密函数
      if ( !i )
      {
        unlink(*(_DWORD *)(a2 + 4));
        rename("/tmp/.firmware.orig", *(_DWORD *)(a2 + 4));
      }
      RSA_free(dword_4131C0);                   // RSA 对象地址
      result = i;
    }
  }
  else
  {
    printf("%s <sourceFile>\r\n", *(const char **)a2);
    result = -1;
  }
  return result;
}

sub_402554函数分析

int __fastcall sub_40108C(int a1, int a2, int a3, int *a4, int a5)
{
  int v5; // $a0
  int v6; // $v1
  int v7; // $v0
  char v9[244]; // [sp+24h] [-108h] BYREF
  int v10[5]; // [sp+118h] [-14h] BYREF
  int v12; // [sp+134h] [+8h]

  v12 = a2 + (1 - (a2 & 0xF)) * ((a2 & 0xF) != 0);
  AES_set_decrypt_key(a3, 128, v9);
  v5 = a4[1];
  v6 = a4[2];
  v7 = a4[3];
  v10[0] = *a4;
  v10[1] = v5;
  v10[2] = v6;
  v10[3] = v7;
  AES_cbc_encrypt(a1, a5, v12, v9, v10, 0);
  return 0;
}

sub_401780函数分析

int __fastcall sub_401780(int file, int a2, int aes_key)
{
  int file_fp; // [sp+20h] [-108h]
  int v5; // [sp+24h] [-104h]
  _DWORD *v6; // [sp+28h] [-100h]
  int v7; // [sp+2Ch] [-FCh]
  int file_size; // [sp+30h] [-F8h]
  int v9; // [sp+34h] [-F4h]
  int i; // [sp+38h] [-F0h]
  int v11; // [sp+3Ch] [-ECh]
  int v12; // [sp+40h] [-E8h]
  int v13; // [sp+44h] [-E4h]
  _DWORD *firmware_fp; // [sp+48h] [-E0h]
  char firmware_de[68]; // [sp+4Ch] [-DCh] BYREF
  int file_buf[38]; // [sp+90h] [-98h] BYREF

  file_fp = -1;
  v11 = -1;
  v5 = -1;
  v6 = 0;
  v7 = 0;
  file_size = -1;
  v9 = -1;
  memset(firmware_de, 0, 64);
  v12 = 0;
  v13 = 0;
  memset(file_buf, 0, sizeof(file_buf));
  firmware_fp = 0;
  if ( !stat(file, file_buf) )
  {
    file_size = file_buf[13];
    file_fp = open(file, 0);
    if ( file_fp >= 0 )
    {
      v6 = (_DWORD *)mmap(0, file_size, 1, 1, file_fp, 0);// 固件映射到内存
      if ( v6 )
      {
        v11 = open(a2, 0x102);
        if ( v11 >= 0 )
        {
          v9 = file_size;
          if ( file_size - 1 == lseek(v11, file_size - 1, 0) )// 比较写入内存文件和固件文件的大小
          {
            write(v11, &unk_402E8C, 1);
            close(v11);
            v11 = open(a2, 0x102);
            v7 = mmap(0, v9, 3, 1, v11, 0);     // 以加密固件大小将待解密的固件映射到内存
            if ( v7 )
            {
              firmware_fp = v6;
              if ( sub_400C40((int)v6) )        // 判断固件开头是否为'SHRS'
              {
                v12 = htonl(firmware_fp[2]);    // 13265600
                v13 = htonl(firmware_fp[1]);    // 13265595
                sub_400C94((int)(firmware_fp + 0x1B7), v12, (int)firmware_de);// 从偏移0x6DC计算长度为1326560的SHA512，这里反编译错误（$v0+0x6dc）
                if ( !memcmp(firmware_de, firmware_fp + 0x27, 64) )// 比较消息摘要，这里反编译错误（$v0+0x9c）
                {
                  aes((int)(firmware_fp + 0x1B7), v12, aes_key, firmware_fp + 3, v7);// aes 解密，key为偏移0xC处，这里反编译错误（$v0+0xc）
                  sub_400C94(v7, v13, (int)firmware_de);// 计算解密后的消息摘要
                  if ( !memcmp(firmware_de, firmware_fp + 0x17, 64) )// 这里反编译错误（$v0+0x5c）
                  {
                    sub_400D34(v7, v13, aes_key, (int)firmware_de);// 计算解密固件+aes_key的SHA512
                    if ( !memcmp(firmware_de, firmware_fp + 7, 0x40) )// 这里反编译错误（$v0+0x1c）
                    {                           // rsa验证摘要
                      if ( sub_400E88((int)(firmware_fp + 0x17), 64, (int)(firmware_fp + 0xB7), 0x200) == 1 )// 这里反编译错误（$v0+0x2dc）
                      {
                        if ( sub_400E88((int)(firmware_fp + 0x27), 64, (int)(firmware_fp + 0x137), 0x200) == 1 )// 这里反编译错误（$v0+0x4dc）
                          v5 = 0;
                        else
                          v5 = -1;
                      }
                      else
                      {
                        v5 = -1;
                      }
                    }
                    else
                    {
                      puts("check sha512 vendor failed\r");
                    }
                  }
                  else
                  {
                    printf("check sha512 before failed %d %d\r\n", v13, v12);
                    for ( i = 0; i < 64; ++i )
                      printf("%02X", (unsigned __int8)firmware_de[i]);
                    puts("\r");
                    for ( i = 0; i < 64; ++i )
                      printf("%02X", *((unsigned __int8 *)firmware_fp + i + 92));
                    puts("\r");
                  }
                }
                else
                {
                  puts("check sha512 post failed\r");
                }
              }
              else
              {
                puts("no image matic found\r");
              }
            }
          }
        }
      }
    }
  }
  if ( v6 )
    munmap(v6, file_size);
  if ( v7 )
    munmap(v7, v9);
  if ( file_fp >= 0 )
    close(file_fp);
  if ( file_fp >= 0 )
    close(file_fp);
  return v5;
}

反编译错误分析，函数sub_400C94，其余函数同理

.text:00401AF4                 lw      $gp, 0x128+var_110($sp)
.text:00401AF8                 sw      $v0, 0x128+var_E4($sp)
.text:00401AFC                 lw      $v0, 0x128+firmware_fp($sp)
.text:00401B00                 nop
.text:00401B04                 addiu   $v1, $v0, 0x6DC					; $v1为参数，$v0存放firmware_fp，所以应为(firmware_fp+0x6DC)
.text:00401B08                 addiu   $v0, $sp, 0x128+firmware_de

解密

对程序进行仿真运行

$ cp /usr/bin/qemu-mipsel-static .
$ sudo chroot . ./qemu-mipsel-static /bin/sh

运行解密程序

# ./bin/imgdecrypt /home/DIR882A1_FW110B02.bin

查看解密效果

$ sudo binwalk DIR882A1_FW110B02.bin

可以看到成功解密

参考链接

• 加密固件之依据老固件进行解密

• Breaking the D-Link DIR3060 Firmware Encryption