开发者社区> 技术小牛人> 正文

极路由安全设计架构分析

简介:
+关注继续查看
极路由安全设计架构分析

0×00 前言

现代智能路由器是目前物联网发展链条上一个不可或缺的重要组成部分,搞清楚其架构设计对将来设计物联网有深远的影响,当然为更安全的设计物联网架构起到关键作用。本文将针对智能路由器的代表“极路由”的安全设计架构进行详细的分析。

现代智能路由器代表:极路由 HiWiFi OS,说它智能主要表现在可以通过手机App远程管理家中的路由器。

根据公开资料,可以大致了解HiWiFi 整个系统架构。

那么,我们需要分析目标:

由于连接公有云和手机App的都是HiWiFi路由器,所以对其固件的分析是非常有必要的。当然服务器端的OpenAPI&SDK也是研究的重点。

1. HiWiFi 路由固件ROM分析
2. HiWiFi OpenAPI &SDK服务器端分析
3. HiWiFi Android App 分析 (下期分解)

0×01 分析思路及实践

1. HiWiFi 路由固件ROM分析(Reverse Engineering ROM)

解压极路由固件

测试环境:Kali Linux binwalk、squashfs-tools

由于极路由固件是通过SSL直接推送给用户购买的路由器文件系统中,并且HiWiFi是运行在用户态的程序,SSH无法开启,所以,需要从其他渠道获得固件。

HiWiFi固件由于HiWiFi底层是开源的OpenWRT,所以到OpenWRT中文网去寻求资源,因为官方固件不开放下载。http://downloads.openwrt.org.cn/PandoraBox/HiWiFi_1S_HD/stable/

Binwalk 自动提取文件系统失败。

0x12314E        Squashfs filesystem, little endian, version 4.0, compression:lzma (non-standard type definition)

无法解开squashfs文件系统,因为不是标准的lzma压缩打包算法。

使用

hexdump -C install.img >you.out

先看看文件头描述。

没什么头绪,那就要看源代码了。

在没有源代码的情况下怎么办?使用通用解包工具尝试:

1)tar xvf install.img    最终失败
(2)看到xz 算法。那么,可以使用squashfs工具试试。用squashfs-tools 中的
unsquashfs -f install.img (先安装apt-get install squashfs-tools)  成功。

可以说这是个设计缺陷,怎么可以使用通用工具解开文件系统。(kali 2.0 要自己编译安装squashfs-tools,还要添加lzma补丁等,有点麻烦。)

安全建议:自己开发一个压缩解压包的工具,哪怕在通用工具里加点salt,然后在配合RSA非对称秘钥解密验证。

进入系统 分析系统

安全小提示:进入/etc/shadow 找到root密码(Linux中的密码用两种加密算法加密:DES和MD5,查看你的/etc/shadow文件, 密码栏以$1$开头的是用MD5算法加密的。)

root:$1$IjJSZYnP$14XuZ/eoGldE8Qz2BXkyO.:15797:0:99999:7:::
daemon:*:0:0:99999:7:::
ftp:*:0:0:99999:7:::
network:*:0:0:99999:7:::
nobody:*:0:0:99999:7:::

我想骂人了,root的密码是admin

要想了解极路由是如何设计其系统的,可以查看其lua脚本,如果想更深入可使用IDA Pro反编译*.so动态链接库文件等系统文件。

为了更好的分析其系统架构,我使用virtualbox 搭建一个支持x86平台openWRT 通过文件对比,了解HiWiFi有哪些库 lua是厂商开发的,从分析Uhttpd可以看出,加入了json的解析,提高支持和云端还有手机App通讯的便捷性。

由于时间的关系,没做太多分析,大家可以尽情发挥。

但是又碰到了一个很难破解的问题,极路由厂商开发的lua文件被加密了。

我想到的方法就是动态调试HiWiFi OS,那么需要搭建可MIPS的虚拟环境(QEMU),然后使用IDA Pro去调试。这个下期再说。

2. HiWiFi  SDK OpenAPI分析

我想从两个方向下手分析

1)手机App和 HiWiFi Cloud 之间的通讯
(2)HiWiFi 路由器和HiWiFi Cloud之间的通讯

(1)手机App和 HiWiFi Cloud 之间的通讯

测试环境:win7、Fiddler

通过Fiddler代理 抓手机App的包

发现手机App和HiWiFi cloud 通讯涉及到4个域名

复制代码
https://app.hiwifi.com

https://m.hiwifi.com

https://openapi.hiwifi.com

https://client.openapi.hiwifi.com
复制代码

前端使用nigix架构web服务器,后台使用php开发语言。数据库估计是NoSQL,前期为mysql。

百万用户使用SSL连接,还是能承受的起的(另外提醒一下:WVS扫描后发现SSL2.0版本太低,要换成 SSL3.0)。

我们就分析一个API。

复制代码
POST https://app.hiwifi.com/mobile.php?m=yun&a=ExchangeDeviceInfo&ios_client_ver=504000602 HTTP/1.1
Host: app.hiwifi.com
Accept: */*
Client-type: ios
Proxy-Connection: keep-alive
App-src: hiwifi
Accept-Language: zh-Hans;q=1, en;q=0.9
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Client-ver: 504000602
User-Agent: HiWiFiKoala-REL/504000602 (iPhone; iOS 8.4.1; Scale/2.00)
Connection: keep-alive
Content-Length: 857
Cookie: __uuid=tjBy+FV/UaGolDRJHKvIAg==; TK=l6DSEEDWm4S17V-xgSv_qpIPxLInuE3AtW6FHPAJ3Q
 
rid=98150&source=%5B%0A%20%20%7B%0A%20%20%20%20%22device_name%22%20%3A%20%22L-106989-A%22%2C%0A%20%20%20%20%22device_mac%22%20%3A%20%228C705AC50CF4%22%0A%20%20%7D%2C%0A%20%20%7B%0A%20%20%20%20%22device_name%22%20%3A%20%22MiBOX1S-3196dc7cb902ca41%22%2C%0A%20%20%20%20%22device_mac%22%20%3A%20%22983B16E2E252%22%0A%20%20%7D%2C%0A%20%20%7B%0A%20%20%20%20%22device_name%22%20%3A%20%22lyyer-iPhone%22%2C%0A%20%20%20%20%22device_mac%22%20%3A%20%22A85B786254C0%22%0A%20%20%7D%2C%0A%20%20%7B%0A%20%20%20%20%22device_name%22%20%3A%20%22%E5%B0%8F%E7%B1%B3%E7%9B%92%E5%AD%903-%E9%87%8C%E5%B1%8B%22%2C%0A%20%20%20%20%22device_mac%22%20%3A%20%226CFAA74B34B6%22%0A%20%20%7D%2C%0A%20%20%7B%0A%20%20%20%20%22device_name%22%20%3A%20%22Xiaomeng%22%2C%0A%20%20%20%20%22device_mac%22%20%3A%20%220C74C2837241%22%0A%20%20%7D%0A%5D&token=l6DSEEDWm4S17V-xgSv_qpIPxLInuE3AtW6FHPAJ3Q
复制代码

使用fiddler  文本向导 URLDecode  可以解析数据。哥,你也别太相信HTTPS,路由器传输的数据都在裸奔。

(2)HiWiFi 路由器和HiWiFi Cloud之间的通讯

这个要考虑一下了,HiWiFi路由器和HiWiFi之间的通讯,难道要跑到公网sniffer?NO。只有分析lua或者so源码了。但是目前源码大部分加密,还没有想好思路。

0×02 总结

HiWiFi系统总体来说安全设计考虑充分,本地文件系统使用加密存储,减少了逆向的可能。手机App和HiWiFi Cloud都是SSL通讯,增加了网络层面中间人攻击难度。当然有更多的安全设计(例如:token设计等),本文由于时间关系,就先分析到这。

sigline.gif 
本文转自 K1two2 博客园博客,原文链接:http://www.cnblogs.com/k1two2/p/4760718.html  ,如需转载请自行联系原作者

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
歪理邪说解析架构设计师上午考试试题之十一(分析2010下半年系统架构设计师上午试题51-56题)
歪理邪说解析架构设计师上午考试试题之十一 分析2010下半年系统架构设计师上午试题51-56题 【引言】 1.一直期待专业的技术话题也能和《明朝哪些事》一样,有趣和好玩,能吸引大家的去阅读,并享受其乐趣; 2.培养对技术的兴趣,有时候比掌握技术本身更重要;一旦有了浓厚的兴趣,自己主动就会主动去探寻,去发现技术的秘密。
815 0
歪理邪说解析架构设计师上午考试试题之九(分析2010下半年系统架构设计师上午试题41-45题)
歪理邪说解析架构设计师上午考试试题之九 分析2010下半年系统架构设计师上午试题41-45题 【引言】 1.一直期待专业的技术话题也能和《明朝哪些事》一样,有趣和好玩,能吸引大家的去阅读,并享受其乐趣; 2.培养对技术的兴趣,有时候比掌握技术本身更重要;一旦有了浓厚的兴趣,自己主动就会主动去探寻,去发现技术的秘密。
894 0
微服务容错组件Hystrix设计分析
在分布式微服务场景下,由于各个业务服务的纵向拆分,加上通常会使用集群技术来保障业务服务的可靠性,由此导致了应用服务节点的爆炸式增长,服务节点的增多会导致出故障的概率也随之增加。如之前文章所阐述的,某个应用节点的不可用可能导致最终整个平台正常运行受影响,因此我们需要一些手段去应对这种异常情况。Hystrix正是一种专门针对微服务容错处理的基础组件,本文主要针对容错组件Hystrix进行设计分析,希望对大家有所裨益。
23 0
阿里云服务器端口号设置
阿里云服务器初级使用者可能面临的问题之一. 使用tomcat或者其他服务器软件设置端口号后,比如 一些不是默认的, mysql的 3306, mssql的1433,有时候打不开网页, 原因是没有在ecs安全组去设置这个端口号. 解决: 点击ecs下网络和安全下的安全组 在弹出的安全组中,如果没有就新建安全组,然后点击配置规则 最后如上图点击添加...或快速创建.   have fun!  将编程看作是一门艺术,而不单单是个技术。
18822 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,阿里云优惠总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系.
25153 0
歪理邪说解析架构设计师上午考试试题之一(分析2010下半年系统架构设计师上午试题01-05题)
歪理邪说解析架构设计师上午考试试题之一 分析2010下半年系统架构设计师上午试题01-05题 【引言】 1.一直期待专业的技术话题也能和《明朝哪些事》一样,有趣和好玩,能吸引大家的去阅读,并享受其乐趣; 2.培养对技术的兴趣,有时候比掌握技术本身更重要;一旦有了浓厚的兴趣,自己主动就会主动去探寻,去发现技术的秘密。
837 0
六十一条面向对象分析设计的经验原则
你不必严格遵守这些原则,违背它们也不会被处以宗教刑罚。但你应当把这些原则看成警铃,若违背了其中的一条,那么警铃就会响起 。   ----- Arthur J.Riel   (1)所有数据都应该隐藏在所在的类的内部。
743 0
《算法设计与分析》一一2.4 习题
本节书摘来自华章出版社《算法设计与分析》一 书中的第2章,第2.4节,作者:黄宇 著 ,更多章节内容可以访问云栖社区“华章计算机”公众号查看。
2240 0
5723
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
JS零基础入门教程(上册)
立即下载
性能优化方法论
立即下载
手把手学习日志服务SLS,云启实验室实战指南
立即下载