IDA Pro > IDA Pro教程 > 技术问题 > 工控设备固件提取及分析

工控设备固件提取及分析

发布时间:2022-10-10 11: 36: 22

概述

工控设备属于一种特殊的智能设备,经常使用在关键基础设施的控制场景中,充当着工业大脑的作用,但有别于IOT类的智能设备,比如设备架构的复杂性、行业生态的封闭性、资产设备的价值高等,因此工控设备的固件提取也是不同于摄像头、路由器或者智能门锁等。

格物实验室已经在2018年的看雪峰会中讲述了普通的IOT类设备固件提取方法,但工控设备的固件提取方法有哪些呢?

 

通常来讲工控设备使用Linux系统的较少,通常为VxWorks、QNX、或无操作系统,用于Linux系统下提取的方法在工控设备中很难平移。

 

一般,我们会利用如下几种方法获取:

①通过官方下载链接获取固件,这种情况少之又少,很少有工控厂商开放自己的设备固件,即便能下载到固件,也不能解密。如西门子、ABB等PLC固件;

②通过工控设备的漏洞dump出设备的内存,从内存中提取固件,这种方法针对施耐德M580、西门子S7-1200系列都很有效;

③通过拆焊工控设备的片外flash,利用编程器读取出内部的信息,从而提取固件,这种方法有效性最高但是由于工控设备一般都比较昂贵,有这种技术和胆量的也少之又少;

④通过硬件接口利用JTAG方式提取设备固件,这种情况在无片外flash但设备中留有JTAG接口的场景中使用,例如意大利ADFweb网关类产品,使用的是NXP的MCU,固件在片内flash中。

 

本文将介绍最常用最有效的方法,通过拆焊片外flash,读取内容,从内容中抽取firmware进行固件分析及后续的研究工作。

 

研究对象

2021年5月美国最大的输油管道运营商遭受勒索软件攻击,被迫关停了输油管道造成了极其严重的影响。因此我们本次选取的研究对象也是在油气行业中广泛使用的RTU设备,该系列RTU采用先进的32位处理器,不仅能完成现场信号的数据采集、控制输出,还能实现数据处理、PID运算、通信联网等功能。

 

与同类RTU相比,具有更大的存储容量、更强的计算功能、更简便的编程与开发能力、更强大的通讯组网能力和卓越的环境指标特性,能够适应各种恶劣工况环境。

 

该款RTU是一个一体化的智能设备,适用于SCADA系统。产品本身集电源、运算处理、通讯、IO信号采集等功能于一体。正由于信号类型丰富,功能齐全,因此在很多油气田、输油管线、水利管线上都有它的身影。

 

拆解大法

首先得定位到存储固件的具体芯片才能做后续的工作,因此摆在眼前的第一件事情就是拆解RTU模块,找到处理器及其外围电路的部署,分析清楚每个芯片的功能。

 

通过拆解后,发现该系列RTU的硬件架构如下,最上面是信号处理板,最下边是电源、通讯、DI/DO/AI通道部分电路,最中间的小板为核心处理板。

接下来我们聚焦到核心处理板上,如下所示,核心处理板的正面有如下器件CPU核心处理芯片为AT91M55800A-33AU,GLS36VF3203为内存读写芯片。经过查找CPU处理芯片的相关资料,该款CPU无内部flash,必须依靠外扩flash进行数据和固件的存储。

再来看看核心处理板的背面,25Q32FVSIG为4M Byte的flash芯片,IS62WV6416BLL为静态RAM芯片,FM18W08-SG为铁电随机存储RAM。

结合手册中的CPU指标可知该核心处理板中包含有多个flash芯片,但是真正存储固件的是哪个芯片呢?如果确定不了只能挨个拆焊,读取内容来验证。

由于W25Q系列flash只有8只引脚焊接难度小,因此先拆焊该芯片,焊接后利用编程器读取其中的内容,得到如下结果,该部分大小为4M,只有0x10前有数据,其余部分均为空,显而易见这里边存储的不是固件了,应该是数据flash。

前0x10的数据存储的为控制器的产品序号、注册编号、核心硬件等信息。

既然不是要找的固件,那么只能转向另外一个flash芯片GLS36VF3203,这个是TSOP封装48脚的芯片,要拆焊这个芯片需要一定的功力,不过对于有工控大厂研发经验的笔者还是较为容易,通过热风枪的洗礼,芯片已经拿下了。可以看到上边油光发亮的是三防漆,应用于石化、油气、高腐蚀场景的工控设备必须要喷涂三防漆才能保证工业环境下设备的长期稳定使用。

芯片拆下后,在仿真器上读出里边的内容,这次肯定没错了。文件大小为4M,binwalk后如下所示为ARM架构小端模式。

接下来还需要将焊接下的flash芯片重新焊接到PCB板上,以恢复原貌,做其他测试,这个过程需要有耐心必须对齐管脚,保证无虚焊、无连焊。经过处理芯片管脚,对齐焊盘、拖锡处理,终于将flash芯片焊接在原位,利用上位机组态软件下装程序并监视监视RTU,显示一切正常。

 

固件分析

拿到固件后,接下来需要分析固件了,首先得确定固件的加载基地址,根据《固件安全之加载地址分析》文章中提供的思路,采用最后一种rbasefind方法,在kali中运行./rbasefind SST36VF3203 TSOP48_flash.BIN-t 4–p命令即可得到加载基地址。

在IDA中打开固件,重新修改基地址。

等待IDA分析完成后,浏览一下解析出来的函数共有1600多个,也不算太多。

 

接下来我们以分析该RTU支持的私有协议为例,看看如何从固件中定位到具体处理的位置。搭建配置软件与RTU进行读取设备信息的环境,抓取报文,如下所示,其中包含了serial number字符串。

利用字符串搜索,在IDA中定位到了如下处理地方,可以得知,这个是RTU回复配置软件的报文封装部分。

当接收到的请求报文如下所示时,前四个字节为ID号,接下来的两个字节为后续报文的长度域,紧接着就是报文部分,根据如上伪代码显示,当偏移为3的地方为0x80,紧接着为0x01,这个时候就会进入到响应报文的封装部分,封装后进行回复。

因此可以继续分析该函数中其余功能码的处理部分,在此不再展开说明。

 

调试

当我们拆解硬件后还发现了内部暴露的接口,经过测试和分析后发现是JTAG口,因此我们尝试将该设备调试起来。众所周知,工控设备的研究难点在于即使利用Fuzzing技术找到了漏洞但是在不调试的情况下也无法准确定位到crash点,因此我们尝试在目标设备上解决这个关键难题。

 

先尝试使用JTAGulator工具识别JATG关键引脚:

然后使用J-LINK连接JTAG调试口:

最后使用IDA连接gdb server进行调试:

经过这三个步骤外加其余的技术,最终我们将该设备调试起来,后续就可以准确定位和分析漏洞成因,进一步为利用漏洞奠定了基础。

 

总结

本文以工控设备固件提取和分析为题,选取了最有效的方法——拆焊提取,当然也可以利用J-LINK工具直接读取flash内部数据,但本文为了简单起见没有完整阐述该方法。从实操角度出发我们选取了某工控设备作为样例,按照整个研究的流程做了阐述,首先查找资料、拆解硬件,然后定位目标芯片,接下来拆焊芯片利用编程器读取内容,最后再利用IDA加载分析和调试固件。

希望我们的工作可以启发更多对OT领域设备感兴趣的同仁们。

 

本文转自【看雪论坛】,原作者【ic3blac4】

展开阅读全文

标签:IDA

读者也访问过这里:
邀请您进入交流群 点击扫码
400-8765-888 kefu@makeding.com

专业销售为您服务

欢迎添加好友,了解更多IDA优惠信息,领逆向工程学习资料礼包1份!
热门文章
exe反编译工具哪个好?反编译能力强的工具盘点
随着软件技术的发展,exe(可执行文件)已经成为了电脑、手机等多个平台上的主要软件运行格式,而对于exe文件的反编译也成为了逆向工程中不可缺少的一个步骤。本文将介绍一些常用的exe反编译工具,并评价其优缺点,帮助读者选择合适的工具。
2023-04-12
IDA反汇编流程视图的常用基本操作设置
IDA中反汇编窗口中有两种不同的形式,分别是列表模式和图形模式,IDA默认打开是图形模式,就是反汇编流程视图,可以用来分析程序函数的具体运行情况。
2021-06-15
IDA一些常用到的功能及其快捷键
通常情况下,我们使用反编译工具是为了在没有源代码的情况下促进对程序的了解,以便于我们分析软件的漏洞、分析编译器生成的代码,以验证编译器的性能和准确性,同时也可以用来分析软件是否带有恶意程序,提高安全性。
2021-05-17
IDA的初始使用说明和界面简介
IDA能帮助我们分析恶意软件、分析系统漏洞、验证编译器的性能,其支持在Mac系统、Windows系统、Linux系统中使用,是一款非常优秀的反编译软件。
2021-03-16
IDA反编译界面之流程预览、函数窗口介绍
在上节《IDA反编译界面之工具栏、导航栏、输出栏介绍》中,我们已经认识了IDA主界面六大窗口中的前三个窗口,接下来我们还需要认识余下的三大窗口,分别是主视图窗口、流程预览窗口和函数窗口。
2021-03-16
使用IDA数据库搜索功能搜索内容
IDA提供了专用的搜索工具,多种不同的搜索方式,帮助我们在IDA数据库中快速搜索内容,并导航到页面上的指定位置。该软件设计了许多类型的数据显示来总结特定类型的信息(如字符串、名称),以方便我们查找这些信息。
2021-03-18
最新文章
IDA是什么软件 IDA的基本用法是什么样的
在当今数字化的时代,软件技术的发展日新月异,反汇编和反编译成为了软件领域中不可或缺的一部分。在众多的反汇编和反编译工具中,IDA(Interactive DisAssembler)以其卓越的功能和灵活性而脱颖而出。本文将深入探讨IDA是什么软件,IDA的基本用法是什么样的,以及它对企业的价值和影响。
2023-09-27
ida怎么搜索函数 ida如何定位main函数
在软件逆向工程的领域中,IDA(Interactive DisAssembler)被广泛认可为一款强大的工具,它为分析人员提供了深入探索程序内部结构和功能的能力。其中,函数搜索和定位主函数(main函数)作为逆向分析的基础技巧,具有重要的地位。本文将为您介绍IDA中如何高效地进行函数搜索以及定位主函数的方法,帮助您在逆向分析过程中更加得心应手。
2023-09-27
ida怎么查找字符串 ida字符串窗口快捷键
在数字化时代,逆向工程作为解密软件和分析程序的关键技术,正日益受到广泛关注。在逆向分析的过程中,IDA(Interactive DisAssembler)是一款备受推崇的工具,它为逆向工程师们提供了强大的功能和灵活的操作。本文将带您深入探讨如何在IDA中查找字符串,优化字符串窗口的使用,并探讨IDA如何将变量转换成字符串,帮助您更加熟练地驾驭这一工具,为逆向分析的世界增添一抹精彩。
2023-09-27
ida怎么修改汇编语言 ida修改后怎么保存
在当今数字化时代,汇编语言作为底层的编程语言,具有无可比拟的重要性。而在逆向工程领域,IDA作为一款卓越的工具,为我们提供了修改汇编语言的能力,极大地拓展了我们的技术边界。本文将深入研究ida怎么修改汇编语言,ida修改后怎么保存的内容。
2023-09-25
渗透测试的基本流程 IDA如何进行渗透测试
在当前数字时代,保护信息安全成了企业和个人都要面临的重要挑战。渗透测试是一项评估信息系统安全的关键技术,它涵盖了对目标系统的全方位攻击模拟,以评估其安全性能。其中,IDA作为一款广泛应用的逆向工程工具,在渗透测试过程中发挥着核心作用。本文将介绍渗透测试的基本流程,IDA如何进行渗透测试和渗透测试的目的的内容,为你深入解读渗透测试的精髓和实施过程。
2023-09-21
ppc反汇编怎么看 IDA如何分析ppc反汇编
通过PPC反汇编技术,开发者能够将复杂的机器码转换为易于理解的汇编指令,从而更好地分析程序的功能和执行过程。在接下来的部分中,我们将探讨ppc反汇编怎么看,IDA如何分析ppc反汇编,为您展示如何深入挖掘程序的内部机制。
2023-09-20

通过微信咨询我们

欢迎添加好友,了解更多IDA优惠信息,领取逆向工程学习资料礼包1份!