揭秘VxWorks——直击物联网安全罩门

时间：2017-07-20 00:56:01 阅读：269 评论：0 收藏：0 [点我收藏+]

转载：http://chuansong.me/n/1864339

VxWorks是美国风河（WindRiver）公司于1983年设计开发的一种嵌入式实时操作系统（RTOS），是嵌入式开发环境的关键组成部分。良好的持续发展能力、高性能的内核以及友好的用户开发环境，在嵌入式实时操作系统领域占据一席之地。

VxWorks支持几乎所有现代市场上的嵌入式CPU，包括x86系列、MIPS、 PowerPC、Freescale ColdFire、Intel i960、SPARC、SH-4、ARM,StrongARM以及xScale CPU。它以其良好的可靠性和卓越的实时性被广泛地应用在通信、军事、航空、航天等高精尖技术及实时性要求极高的领域中，如卫星通讯、军事演习、弹道制导、飞机导航等。在美国的F-16、F/A-18战斗机、B-2隐形轰炸机和爱国者导弹上，甚至连一些火星探测器，如1997年7月登陆的火星探测器，2008年5月登陆的凤凰号，和2012年8月登陆的好奇号也都使用到了VxWorks。——摘自《维基百科》

https://zh.wikipedia.org/wiki/VxWorks

技术分享

正因为VxWorks操作系统的开放性、模块化和可扩展性的系统结构特征以及能在多线程、多任务的系统环境中达到高实时要求的PLC控制要求，在保证实时性的同时，实现多点位、复杂功能的PLC系统控制目标，因此被广泛用于物联网嵌入式设备及工业控制领域。西门子、施耐德的多款PLC设备软件搭载在VxWorks系统上运行。

来看下CVE公布的VxWorks相关漏洞：

技术分享
对于一款被广泛应用的操作系统，CVE漏洞能控制在这个数量可以说安全做得已经挺好了。最新的7.0系统又做出了很多针对安全的功能，更是提出了应用程序加密这样的安全模式，任何一个系统应用在运行前需要做哈希验证，这样能极大程度减少恶意软件和木马的植入对于系统带来的威胁。

难道说搭载风河VxWorks系统的嵌入式设备真的就无懈可击了？我要告诉你，在系统以及网络层我们还是能做很多事情的。

先来简单了解下该系统。

技术分享
这是我在Vmware上运行的基于Pentium架构的VxWorks 5.5.1版本系统，虽然不是最新版本，但用于了解系统的工作方式，做一些基本的测试已经足够了，而且本身大部分加载VxWorks系统的设备也并不是最新的，低于此版本的设备也不在少数。

在虚拟机上运行VxWorks5.5系统并通过tornado软件进行调试总的过程需要如下几步：

编译网卡驱动
修改系统配置文件
编译bootrom并加载到启动磁盘
编译VxWorks镜像
用FTP把系统镜像传到虚拟机里
配置target server来调试系统以及应用

如果对于嵌入式系统没有基础那么这几步还是挑战很大，因此网上能找到已经编译好的针对vmware的系统镜像以及VxWorks BSP文件。这极大得降低了研究的门槛，我们只需要进行相应的配置再通过系统专门的集成开发环境tornado 2.2就可以展开对于VxWorks系统的入门级研究。当然这只是入门级研究环境，对于熟悉系统工作原理和网络栈已经可以满足，但是如果要研究系统底层安全性如溢出、shellcode那就需要真实的系统以及针对性的指令架构。

另外推荐两款搭载VxWorks系统的设备，也可以针对真实的设备进行研究。第一款为经典的思科Linsys54g路由器，这款路由出厂内置VxWorks5.5系统，很多对于固件的逆向都是从这款路由的固件入手的，通过接入板子串口可以拿到系统boot shell，但我在尝试时系统运行不到VxWorks shell，会报一个网络配置的错误，有兴趣的朋友可以一起研究下，如果知道怎么解决可以和我联系。另外一款设备是华为的UAP2105 UMTS是一款家庭使用的小型蜂窝基站。这款设备在2015Blackhat上被爆出多个漏洞，可以通过JTAG接口拿到VxWorks shell，并且可以通过远程调试端口进行访问。

在做了如上准备工作后，我们就可以开始对于VxWorks系统的安全性进行探秘了。

我们先来直观的感受下这个系统，来看下VxWorks系统的shell，这是可用的基本命令，和我们熟悉的Linux Bash区别还是很大的。

技术分享

其中还包括输入输出、调试、文件系统、网络等一些具体的命令。我们注意到这个系统的shell具有一些针对于任务（task）的操作命令以及可以修改内存的命令，可以说权限是相当大的。看下当前任务状态，我们就可以感受到实时操作系统的特点了。技术分享
有兴趣可以去自己了解，这里不做详细介绍。

我们来用nmap做下端口扫描，结果如下：

技术分享
可以看到系统支持了多种标准网络协议进行通信，我们主要来针对wdbrpc调试端口进行hack。

什么是Wdbrpc？

wdbrpc是VxWorks的远程调试端口，以UDP方式进行通信，端口号为17185。协议基于sun-rpc。该服务主要用于支持系统远程通过集成开发环境Tornado交互。

技术分享

通过Tornado开发环境软件可以进行应用程序代码编写、上传到设备、远程调试、rom烧录等一系列功能。支持通过wdbrpc、wdbpipe、wdbserial等不同的连接交互方式。

技术分享 Vxworks系统将一起与硬件相关的模块都放在BSP库中。BSP库是硬件与软件的接口，处理硬件的初始化、中断处理与产生、硬件时钟与定时管理、局部和总线内存空间的映射、内存大小定义等等。能够自行启动目标设备、初始化目标设备，能够与host通信下载系统内核，将系统权限交由Vxworks内核来调用应用程序等功能。

因此该通信端口权限十分大，然后并没有身份认证与传输加密机制。该通信接口为远程攻击设备提供了无限可能。

通过以上简单了解，我们需要深入了解wdbrpc通信协议，然而网上并没有官方详细的协议说明，只有在风河开发文档中简单涉及一些协议说明。

Rapid7曾在2010年8月发表博客《Shiny Old VxWorks Vulnerabilities》其中说明了wdbrpc端口的问题并且给出了当时的统计报告以及4个metasploit攻击模块。因此我们可以从模块入手进行分析。

https://community.rapid7.com/community/metasploit/blog/2010/08/02/shiny-old-vxworks-vulnerabilities

技术分享
包括wdbrpc_version、wdbrpc_bootline、wdbrpc_reboot、wdbrpc_memory_dump。分别提供远程获取系统版本号信息、获取bootline信息、远程重启系统以及远程dump内存。

技术分享
通过对虚拟机远程设备进行尝试，可以看到我们能从wdbrpc端口上轻松获取到系统版本号以及bootline启动配置信息。通过wireshark我们在仔细看下协议过程。

技术分享
可以看到协议内容并无加密，但是wireshark也不能解析该协议，因此攻击手段也将受限，wdbrpc提供的功能很多并且权限很大，但目前也只能通过这四个攻击模块进行攻击。初步尝试还发现获取系统版本号可以直接通过重放进行攻击，然而要是获取bootline信息或远程dump内存并不能简单的重放，协议的交互过程还是具备初始化等步骤。因此我们还是需要进一步深入了解该协议。

Vxworks开发文档上有如下对于wdbrpc协议请求和响应的说明：

技术分享
这是一个请求数据包的格式，其中20字节IP头，8字节UDP头，40字节wdbrpc头，其中包含WDBPROG为4字节固定为0x55555555、WDBVERS为4字节（0x00000001）以及RPC调用编码。XDR stream为调用参数信息。

RPC请求数据头具体如下：

技术分享

RPC请求参数wrapper部分具体如下：

技术分享
建立连接的通信过程为，host首先给target发送一个Connect请求，收到回应包后，即可发送Fanc_call数据包。Connect请求的Procedure字段为0x00000001，data字段需要填充具体的调用参数为0x00000002,0x00000000,0x00000000。