2019-08-20 15:03:1426438人阅读
图片传输协议(PTP)
现代单反相机不再使用胶片来捕捉和再现图像,而是使用图片传输协议(PTP)。图片传输协议最初主要涉及图像传输,现在这个协议包含了几十个不同的命令,支持从拍照到升级相机固件的任何操作。
以前大多数用户使用USB数据线将相机连接到个人电脑,但新款相机现在支持WiFi连接。这意味着,曾经只有USB连接设备才能访问的PTP/USB协议,现在也变成了每个近距离支持wifi的设备都可以访问的PTP/IP协议。
在一次演讲中,Daniel Mende (ERNW)展示了佳能EOS相机当时支持的每一种网络协议可能遭受的所有不同的网络攻击。在演讲的最后,Daniel讨论了PTP/IP网络协议,展示了攻击者可以通过从网络嗅探特定的GUID与相机通信,该GUID是在目标计算机与相机配对时生成的。由于PTP协议提供了多种命令,并且没有以任何方式进行身份验证或加密,因此他演示了如何使用协议中存在的功能监视受害者。
在研究中,研究人员的目标是超越访问和使用协议的功能。他们模拟攻击者,希望在协议中找到实现漏洞,希望利用它们来接管相机。这样的远程执行代码(RCE)场景将允许攻击者用相机做任何他们想做的事情,用勒索软件感染相机只是众多选项之一。
从攻击者的角度来看,PTP层看起来是一个很好的攻击目标,因为:
1. PTP是一种未经身份验证的协议,支持许多不同的复杂命令;
2. PTP中的漏洞可以通过USB和WiFi进行同等程度的利用;
3. WiFi支持使研究人员的相机更容易被附近的攻击者访问。
在本文中,研究人员会将PTP作为攻击载体,介绍两种潜在的攻击方法:
1. USB:如果一个攻击者接管了你的电脑,就可以通过USB将恶意软件传播到你的相机中;
2. WiFi:攻击者可以在旅游景点设置一个流氓WiFi接入点,感染你的相机。
攻击目标的设定
研究人员选择佳能EOS 80D单反相机的原因有很多:
1. 佳能是最大的单反相机制造商,控制着超过50%的市场份额;
2. EOS 80D支持USB和WiFi;
3. 佳能配有Magic Lantern,Magic Lantern是佳能单反相机推出的一款扩展包,主要包括Dual ISO捕捉两种不同闪光范围的图像、扩大动态范围、延时摄影、定时曝光控制计等功能,支持扩展API。从而提高相机的扩展功能。
获取固件
这通常是每个嵌入式研究中最棘手的部分,第一步是检查供应商的网站上是否有公开可用的固件更新文件。不出所料,研究人员在短时间的谷歌搜索之后找到了它。下载文件并提取归档文件之后,研究人员遇到了一个令人不快的意外。该文件似乎是加密或压缩的,如图1所示。
在浏览该文件时,研究人员没有找到任何有用的模式,这可能暗示了引导加载程序的汇编代码的存在。在许多情况下,引导加载程序是未压缩的,它包含解密或解压缩文件所需的指令。
尝试使用Binwalk或7Zip等多种解压缩工具都无用,这意味着这是一种专有的压缩方案,甚至是一种专用的加密方案。
在谷歌,研究人员检查了互联网对这个. fir文件的看法,发现固件确实是AES加密的。
由于是开源的,研究人员希望ML(Magic Lantern)能够以某种方式发布这个加密密钥,从而允许解密固件。不幸的是,事实并非如此。ML不仅故意将加密密钥保密,研究人员甚至在互联网上的任何地方都找不到密钥。通过努力,研究人员发现ML开发了一种叫做便携式ROM转储的工具。这是一个自定义固件更新文件,一旦加载,就会将相机的内存转储到SD卡。
使用ML论坛中提供的说明,研究人员成功地卸载了相机的固件,并将其加载到研究人员的反汇编程序(IDA Pro)中。现在研究人员终于可以开始寻找相机的漏洞了。
反转PTP层
此时,查找PTP层就非常容易:
1. PTP层是基于命令的,并且每个命令都具有唯一的数字操作码;
2. 固件包含许多指示字符串,这简化了逆向工程的任务。
通过遍历PTP OpenSession处理程序,研究人员找到了根据操作码注册所有PTP处理程序的主函数。快速检查确保固件中的字符串与研究人员在网上找到的文档匹配。
在查看注册函数时,研究人员发现PTP层的攻击面很多。该函数注册了148个不同的处理程序,表明供应商支持许多专有命令。通过实施近150种不同的命令,在其中一种命令中找到关键漏洞的可能性非常高。
PTP处理程序的API
每个PTP命令处理程序都可以实现相同的代码API。API使用了ptp_context对象,图4显示了ptp_context的一个用例。
可以看到,上下文包含函数指针,用于:
1. 查询输入消息的大小;
2. 接收输入的消息;
3. 处理消息后返回响应。
事实证明,大多数命令都相对简单。它们只接收几个数字参数,因为协议支持每个命令最多有5个这样的参数。在扫描了所有支持的命令之后,148个命令的列表很快缩小到38个接收输入缓冲区的命令。从攻击者的角度来看,研究人员完全控制了这个输入缓冲区,因此,我们可以开始在这么小的命令集中查找漏洞。
幸运的是,每个命令的解析代码都使用普通的C代码,并且非常容易分析。很快,研究人员发现了自己的第一个漏洞。
CVE-2019-5994:SendObjectInfo中的缓冲区溢出(0x100C)
PTP命令名称:SendObjectInfo
PTP命令操作码:0x100c
在内部,协议将支持的文件和图像称为“对象”,在这个命令中,用户更新给定对象的元数据。处理程序在解析应该是对象的Unicode文件名时包含缓冲区溢出漏洞。图5显示了易受攻击的代码片段的简化代码版本:
这是主要全局上下文中的缓冲区溢出,在此上下文中,无需反转不同的字段,研究人员拥有的唯一的直接暗示就是复制之后的Free-Where原语。副本可以将pKeywordsStringUnicode字段修改为任意值,然后触发调用以释放它。
这看起来是一个好方法,但是研究人员要继续寻找一个更容易被利用的漏洞。
CVE-2019-5998:NotifyBtStatus中的缓冲区溢出(0x91F9)
PTP命令名称:NotifyBtStatus
PTP命令操作码:0x91F9
尽管研究人员的相机型号不支持蓝牙,但一些与蓝牙相关的命令显然还存在的,攻击者仍然可以访问它们。在本例中,研究人员发现了一个典型的基于堆栈的缓冲区溢出,如图6所示。
CVE-2019-5999:BLERequest中的缓冲区溢出(0x914C)
PTP命令名称:BLERequest
PTP命令操作码:0x914C
看起来蓝牙命令比其他命令更容易受到攻击,这可能意味着开发团队缺乏经验。这一次研究人员发现了一个基于堆的缓冲区溢出,如图7所示。
现在总共有3个漏洞:
全局结构上的缓冲区溢出;
缓冲区溢出堆栈;
堆上的缓冲区溢出。
如前所述,研究人员将尝试利用基于堆栈的漏洞,这可能是最容易的。
代码执行
研究人员首先使用USB线把相机和电脑连接起来,研究人员之前使用的USB接口与佳能的“EOS实用程序”软件,似乎很自然地试图利用USB传输层。在搜索PTP Python库时,研究人员发现了ptpy。
在编写代码执行漏洞之前,研究人员先从一个小的概念验证(PoC)开始,它将触发研究人员发现的每个漏洞。图8显示了相机如何崩溃,供应商将其描述为“Err 70”。
现在,是时候开始真正的漏洞利用了。
漏洞利用
研究人员的计划是使用Sleep()函数作为断点,并测试在给定的秒数之后是否可以看到设备崩溃。这将确认他们接管了执行流程并触发了对Sleep()的调用。大多数情况下,易受攻击的任务只是在没有触发崩溃的情况下停止的,从而导致相机停止工作。目前研究人员无法区分停止工作、睡眠和运行挂起的情况,这使得研究人员的断点策略毫无意义。
研究人员决定改变策略,通过寻找一个总是触发Err 70的代码地址。从现在开始,研究人员的断点将是对该地址的调用,崩溃意味着研究人员击中了断点。
研究人员逐渐构建研究人员的漏洞,直到最终研究人员能够执行研究人员自己的程序集片段——现在研究人员有了代码执行。
恶意加载
研究人员通常使用基本的TCP加载器进行Scout,这需要网络连接。虽然研究人员可以使用一个文件加载器来从SD卡加载Scout,但是稍后需要为Scout提供相同的网络连接,所以研究人员最好现在就解决这个问题。
查看了不同设置后,研究人员意识到WiFi不能在USB连接的时候使用,很可能是因为它们都是PTP层的,不支持同时使用,所以研究人员决定只使用WiFi。
在研究人员再次查看了PTP命令处理程序的列表,这次更彻底地查看了每个命令处理程序。令研究人员大为欣慰的是,研究人员发现了更多的漏洞。
CVE-2019-6000:SendHostInfo中的缓冲区溢出(0x91E4)
PTP命令名称:SendHostInfo
PTP命令操作码:0x91E4
查看易受攻击的代码,如图9所示,研究人员第一眼就很明显地忽略了这个漏洞。
这一次,开发人员虽然记得要检查消息的预期固定大小为100字节。然而,他们却忘记了一些至关重要的事情。非法数据包只会被记录,但不会被删除。在快速检查了研究人员的WiFi测试环境后他们确实看到了崩溃。
虽然这个漏洞正是研究人员一直在寻找的,但是他们决定继续寻找更多的漏洞,特别是这种漏洞很可能会在多个命令中找到。
CVE-2019-6001:SetAdapterBatteryReport中的缓冲区溢出(0x91FD)
PTP命令名称:SendAdapterBatteryReport
PTP命令操作码:0x91FD
研究人员不仅发现了另一个具有相同代码模式的漏洞,而且这是列表中的最后一个命令,为研究人员提供了很好的结果。图10显示了易受攻击的PTP处理程序的简化版本。
在本例中,由于堆栈缓冲区相当小,因此研究人员将继续使用以前的漏洞。
注意:在WiFi设置中测试这个漏洞时,研究人员发现它在函数返回之前也崩溃了。所以,研究人员只能通过USB连接来利用它。
第二次尝试寻找恶意载荷
既然发现了漏洞,研究人员就可以执行攻击,并成功地在相机上加载了Scout。现在,研究人员有了一个网络调试器,可以开始转储内存地址,以便在逆向工程过程中帮助执行攻击。
但是,研究人员的目标是展示使用图片传输协议从USB和WiFi中劫持相机。虽然这两个传输层之间有一些细微的差异,但最终研究人员使用的漏洞在两种情况下都有效,从而证明了他们的观点。然而,接管相机只是研究人员发起攻击的第一步。现在是时候创建一些勒索软件了。
加密
任何勒索软件都需要加密功能来加密存储在设备上的文件,如上所述,固件更新过程提到了AES加密,这看起来是个一次性完成所有任务的好机会。
这个逆向工程任务比研究人员想象的要简单得多,因为研究人员不仅找到了AES函数,还找到了固件更新过程的验证和解密密钥。因为AES是对称密码,所以同样的密钥也可以用于加密恶意固件更新,然后对其签名,使其通过验证检查。
研究人员使用了Scout实现了所有复杂的密码算法,并实现了一条模拟固件更新过程的新指令,然后最终返回算法计算的密码签名。使用此指令,研究人员可以知道固件更新文件中每个部分的正确签名是什么,从而有效地获取相机本身的签名原语。
在图11中,你可以看到研究人员的自定义ROM转储程序,它是通过修补Magic Lantern的ROM转储程序创建的。
CVE-2019-5995:恶意固件在后台悄悄进行更新
这是有一个用于远程固件更新的PTP命令,它不需要任何用户交互。这意味着即使所有的漏洞都已修复,攻击者仍然可以使用恶意固件更新文件来感染相机。
勒索目标的实现
在完成固件更新过程之后,就可以实现勒索目标了。勒索软件使用与固件更新过程相同的加密函数,并在固件中调用相同的AES函数。加密SD卡上的所有文件后,勒索软件会向用户显示勒索消息。
先设置一个流氓WiFi接入点可以很容易地实现,首先是嗅探网络,然后伪造一个AP,使它的名称与相机自动尝试连接的名称相同。一旦攻击者与相机位于同一局域网内,就可以发起攻击。
以下是佳能发布的官方安全建议链接:
日语版本的链接:https://global.canon/ja/support/security/d-camera.html
英语版本的链接:https://global.canon/en/support/security/d-camera.html
本文翻译自:https://research.checkpoint.com/say-cheese-ransomware-ing-a-dslr-camera/
原文地址:https://www.4hou.com/typ/19739.html
翻译作者:luochichun