Hackni si svůj router (NETGEAR WG103)

Shodou okolností a k mému štěstí se mi na stole objevil bezdrátový Access Point NETGEAR WG103. Nejedná se sice o žádnou horkou novinku na trhu - zařízení je vyráběno již poměrně dlouhou dobu, nicméně výrobce k němu pokud se nepletu poskytuje doživotní záruku a navíc mě zaujalo označení řady "ProSafe" který ve mě evokoval "pocit ještě většího bezpečí"...

Na zařízení jsem spínačem reset provedl obnovu do továrního nastavení a počal jej testovat. Jelikož web rozhraní zrovna neoplývalo rychlostí, narychlo jsem ho prozkoumal a poté se rozhodl, že se pustím rovnou do analýzy firmware.

Firmware (verzi 2.2.5) jsem do svého testovacího stroje s Debianem stáhl přímo ze stránek výrobce:

Po rozbalení archívu se ukázaly soubory WG103_V2.2.5_firmware.tar a WG103_V2.2.5 Release_Note.html

Relase note jsem přeskočil a rozbalil TAR se samotným firmware.

Objevily se čtyři soubory

• vmlinux.bin.l7
• rootfs.squashfs
• root_fs.md5
• kernel.md5

Jádra systému (vmlinux.bin.l7) ani kontrolních součtů (root_fs.md5 a kernel.md5) jsem si opět moc nevšímal. To co mě zaujalo byl soubor rootfs.squashfs. Neočekával jsem sice nějaké vysoké zabezpečení image filesystému, ale že to bude až tak jednoduché mě opravdu překvapilo. K prohlédnutí jednotlivých souborů už stačilo SquashFS archív pouze rozbalit. Tady ovšem nastala chyba - SquashFS vyhodil chybovou hlášku: "Can't find a SQUASHFS superblock on rootfs.squashfs"

Bylo mi jasné že buď nesedí verze UnsquashFS nebo že je ve SquashFS použita nějaká komprese. Rozhodl jsem se tedy filesystém prozkoumat BinWalkem. Ten mi prozradil, že se opravdu jedná o SquashFS, ovšem vybavený kompresí LZMA + drobným problémem jménem big endian.

Jelikož jsem byl líný dokolečka stahovat a rekompilovat zdrojové kódy různých verzí Squashfs-Tools s podporou LZMA, šáhnul jsem po "hotovém řešení" v podobě Firmware-Mod-Kit-u. Ten zjistil, že je filesystém zabalen verzí 3.3 s podporou LZMA a dokonce se mu jej podařilo extrahovat.

Rozbalený firmware víceméně ničím nepřekvapil - standardní adresářová struktura, BusyBox a hromada zbytečných wrapperů tak jak to u těchto zařízení bývá.

Největší "poklad" jsem nalezl v adresáři /home/www

Po prohlédnutí zdrojových kódů se mi udělalo hodně zle. Tolik bezpečnostních chyb jsem pohromadě snad ani neviděl. Nebudu zde odhalovat jednotlivé bezpečnostní problémy, tak alespoň jeden libový za všechny: v souboru recreate.php jsem nalezl následující kód:

Bez hlubšího zkoumání kontextu předpokládám, že měl sloužit k vygenerování nové session_id a prodloužení celého sezení. Na začátku však kodér zapomněl přidat kontrolu, zda-li je uživatel již přihlášený (v systému je pouze jeden uživatel - admin). Díky této fatální chybě tak stačí přes webový prohlížeč zadat adresu

Na tomto případě lze krásně vidět, že ani dostatčně silné heslo nemusí být nutně nepřekonatelnou bariérou proti zákeřným útočníkům.

Varování: Výše uvedený text slouží výhradně k výukovým účelům. Autor jakýmkoliv způsobem nikoho nenavádí k neužití nalezené chyby nebo k páchaní jiné trestné činnosti. Výrobce zařízení Netgear byl kontatován a zhruba po týdnu odpověděl, ať kontaktuji přímo centrálu v Polsku. Uvidíme, jak se bude komunikace vyvíjet dále.