摄像头逆向分析之旅

串口分析

直接拆开目标，处理器和FLASH在底座下面，通过分析可知道，该型号的摄像头使用了海思Hi3516A（ARM架构），FLASH为128MB，该FLASH引脚相对拆焊比较费时间，于是 试试能不能直接从串口中获取到固件。
 

发现PCB版上暴露了UART串口，其中通过万用表测量可知，最左边的焊盘为GND，最右边焊盘对地为3.3v，应该是Vcc，中间两个为Rx和Tx。
 

将UART接到TTL转USB，这时注意Rx和Tx如果接反串口无信息，这时调换以下就可以看到输出的打印信息。
 

打开对应的串口，设置波特率115200：

固件提取

按住Ctrl+B进入U-boot，这时我们可以在U-boot中提取出固件了 。
 

先看flash内存布局，开始的1M存放的是boot，后面是kernel，接着是program，我们关注点主要在kernel和program上，先把这些数据读取出来。
 

先把数据读到内存，然后md出来，再转成bin即可，这里演示是dump kernel的数据。其他FLASH数据也可通过该方法dump出来。

解密程序

使用binwalk可以直接解开提取到的固件数据，然而在分析过程中，
发现一些程序是加密的，如下图所示，该文件原来应该是ELF程序，应该有ELF magic number，但是010 editor分析后发现这个程序是加密了。
 

有加密的地方就会有解密的地方，一般linux下对程序解密都是放在内核完成的，下一步我们需要分析该固件的内核，如下所示，高亮的地方我们可以获取到该内核的真正加载地址：0xC0008000。
 

当设置正确的加载地址后，IDA已经可以识别出一大部分函数信息：
 

我们通过字符串引用信息快速定位了解密该程序的地方，该函数先判断了是否是ELF文件，是的话就不执行解密逻辑。如果确定程序加密后，先读取前32字节解密出AES密钥。
 

我们不需要太关心解密密钥算法，由于该算法很简单，直接复制到vs中进行调用，并且编译运行得到AES密钥：QdCpBsjP_** _TY
 

后面是直接调用了AES-CBC进行解密，key和iv为我们解密得到的字符串：
 

解密脚本如下所示：

1 2 3 4 5 6 7 8 9 10 11 12

from Crypto.Cipher import AES import binascii import hexdump with open('./fs/usr/bin/****','rb') as fd:     data=fd.read() key=b"QdCpBsjP_***_TY" iv=key cipher = AES.new(iv, AES.MODE_CBC,key) dec=cipher.decrypt(data[0x80:]) hexdump.hexdump(dec) with open('****.bin','wb+') as fd:     fd.write(dec)

解密结果如下：

总结

本文简单介绍了串口提取固件的方法以及快速解密厂商自定义的程序加密的方法。通过以上工作，基本上为后续的分析扫除了障碍，当然，后面的漏洞挖掘工作还是一个不小的挑战。今后大家遇到加密得ELF程序或者bash，不妨分析下Linux内核，没准解密算法就在其中。