我是如何反编译D-Link路由器固件程序并发现它的后门的.pdfVIP

我是如何反编译 D-Link 路由器固件程序并发现它的后门的 OK，又是周末晚上，没有约会，只有一大瓶 Shasta 汽水和全是快节奏的音乐…那就研究一下 程序吧。 一时兴起，我下载了 D-link 无线路由器(型号：DIR-100 revA)的固件程序 v1.13。使用工具 Binwalk，很快的就从中发现并提取出一个只读 SquashFS 文件系统，没用多大功夫我就将这 个固件程序的 web server(/bin/webs)加载到了 IDA 中： /bin/webs 中的字符信息 基于上面的字符信息可以看出，这个/bin/webs 二进制程序是一个修改版的 thttpd，提供路由 器管理员界面操作功能。看起来是经过了台湾明泰科技(D-Link 的一个子公司)的修改。他们甚 至很有心计的将他们很多自定义的函数名都辅以“alpha”前缀： 明泰科技的自定义函数 这个 alpha_auth_check 函数看起来很有意思！ 这个函数被很多地方调用，最明显的一个是来自 alpha_httpd_parse_request 函数： 调用 alpha_auth_check 函数 我们可以看到 alpha_auth_check 函数接收一个参数(是存放在寄存器$s2 里)；如果 alpha_auth_check 返回-1(0xFFFFFFFF)，程序将会跳到 alpha_httpd_parse_request 的结 尾处，否则，它将继续处理请求。 寄存器$s2 在被 alpha_auth_check 函数使用前的一些操作代码显示，它是一个指向一个数据 结构体的指针，里面有一个 char*指针，会指向从 HTTP 请求里接收到的各种数据；比如 HTTP 头信息和请求地址 URL： $s2 是一个指向一个数据结构体的指针 我们现在可以模拟出 alpha_auth_check 函数和数据结构体的大概样子： struct http_request_t { char unknown[0xB8]; char *url; // At offset 0xB8 into the data structure }; int alpha_auth_check(struct http_request_t *request); alpha_auth_check 本身是一个非常简单的函数。它会针对 http_request_t 结构体里的一些 指针进行字符串 strcmp 比较操作，然后调用 check_login 函数，实际上就是身份验证检查。 如果一旦有字符串比较成功或 check_login 成功，它会返回 1；否者，它会重定向浏览器到登 录页，返回-1; alpha_auth_check 函数代码片段 这些字符串比较过程看起来非常有趣。它们提取请求的 URL 地址(在 http_request_t 数据结构 体的偏移量 0xB8 处)，检查它们是否含有字符串“graphic/” 或 “public/”。这些都是位于 路由器的 Web 目录下的公开子目录，如果请求地址包含这样的字符串，这些请求就可以不经 身份认证就能执行。 然而，这最后一个 strcmp 却是相当的吸引眼球： alpha_auth_check 函数中一个非常有趣的字符串比较 这个操作是将 http_request_t 结构体中偏移量 0xD0 的字符串指针和字符串 “xmlset_roodkcableoj28840ybtide”比较，如果字符匹配，就会跳过check_login 函数， alpha_auth_check 操作返回