物联网IoT安全教程（五）-- 修复固件运行环境

之前我们学习了如何模拟运行IoT固件，但是，现实中并不是所有固件都能模拟运行成功，比如固件运行可能依赖于硬件，qemu无法完全模拟，所以，本节我们就来学习如何修复固件的运行环境，从而成功模拟固件运行。

我们本次使用的固件是D-Link的DIR-605L FW_113固件，下载地址：ftp://ftp2.dlink.com/PRODUCTS/DIR-605L/REVA/

拿到固件后，我们惯用的使用fat工具进行模拟，会发现它报错了，Interfaces那里也为空，说明模拟运行失败了。

上github上查询该错误，作者无奈地回复说其实不是所有固件都能用firmadyne模拟的，尤其是那些需要与硬件设备交互的固件。

好，那就换种思路，模拟固件运行的实质其实就是把固件的Web程序跑起来，而模拟失败则说明Web程序运行出错了，我们接下来就要针对看看Web程序报错的原因以及如何修复运行环境。首先用binwalk提取固件的文件系统，提取出来的路径为squashfs-root-0。

我们可以使用find ./ -name boa命令来定位该固件的Web程序。Boa程序是一个轻量级的web服务器程序，常见于嵌入式系统中。dlink就是在boa开源代码的基础上新增了很多功能接口以实现路由器上的不同功能。boa程序的路径为/bin/boa，同时我们发现在/etc/boa路径下还有个boa的密码配置文件，我们可以直接获取到boa加密后的密码。

我们直接使用命令模拟运行程序，会发现报错了，提示初始化MIB错误。
sudo chroot . ./qemu-mips-static bin/boa

使用IDA对boa程序进行逆向分析（需要先添加mip插件：https://github.com/devttys0/ida），定位到字符串“Initialize AP MIB failed”，接下来就在这里下断点，调试看下什么情况下会报这个错。

首先使用qemu调试命令运行boa程序。

然后在用ida打开boa程序，选择Debugger为Remote GDB（我这里是远程调试129虚拟机里的boa程序），点击Debugger -> Process Options进行配置IP和端口。

然后点击Debugger -> Attach to process附加调试，直接运行到断点处，这里的jalr命令即为调用apmib_init函数。

google下这个这个函数是干嘛的，原来是从flash中读取mib值到RAM中，模拟环境没有flash硬件，所以应该会读取失败。

经过调试，我们知道由于没有flash硬件，apmib_init读取数据失败返回0，赋值给%v0，然后bnez命令对$v0进行检测，若为0，则回显初始化失败，报错退出。

我直接在IDA中对字节码进行修改，将bnez(0x14)命令改成beqz(0x10)，就可以进入正常的逻辑顺利运行下去了。

patch完程序后，再次运行boa，发现它不再报“Initialize AP MIB failed”错误了，但又来了2个“Create chklist file error!”错误以及一个内存崩溃错误。

前2个“Create chklist file error!”来自于create_chklist_file和create_devInfo_file函数，后面那个内存崩溃是apmib_get函数导致的。

定位到“Create chklist file error!”字符串，经分析确认这个错误是open函数的返回值导致，但由于不影响执行我们就细看了。
1

重点放到apmib_get函数，从上面我们可以知道该函数的功能是从RAM读取MIB值，所以有可能又是硬件依赖导致的错误。该函数正常情况下会返回4种值。

由于代码复杂，我们就不细致分析了，直接参考作者的代码编写劫持代码，目的是伪造apmib_init和apmib_get函数，让其返回正确的值，由于为了方便IDA调试，作者把fork也一并劫持了（IDA遇到fork异常）。

编写好apmib.c后，使用mips-linux-gnu-gcc命令将该代码编译成so，在这之前得先下载mips的gcc。
sudo apt install gcc-mips-linux-gnu

然后使用命令进行编译。
mips-linux-gnu-gcc -Wall fPIC -shared apmib.c -o apmib-ld.so

使用LD_PRELOAD参数指定劫持so，这样当boa执行到apmib_init和apmib_get时，就会调用到apmib-ld.so里面的函数，从而顺利运行，运行成功的效果如下。

我们可以看到Web服务以跑起来了，80端口。

然而当我们打开页面时，页面自动跳转到了Wizard_Easy_LangSelect.asp，程序又双叒崩溃了。。

看下该ASP文件的代码，通过文件名可以猜测功能是选择页面语言，而它尝试从硬件设备读取语言，显然又会出错了。

那我们就想办法不让它进入这个页面，查看入口网页，发现逻辑是先判断系统语言，成功则直接进入Webcome界面。

所以…我们直接魔改，两种情况都进入Wizard_Easy_Welcome.asp界面。

改完后再次访问，终于成功了，不容易，至此Web服务已经成功跑起来了，就可以开始挖洞了。