- [스압] KT 무선 공유기 커스텀 펌웨어 개발기 - 1

안녕하세요. manatails입니다.

이번에 아는 사람에게서 남는 KT 공유기를 받았습니다.

딱히 쓸데는 없고 해서 분해해 보았는데, 생각보다 사양이 좋습니다.

이 기기가 그냥 통신사 공유기로 남는것은 아깝다고 생각하여 한번 해킹을 시도해 보았습니다.

모델명은 DW02-412H 으로 기가인터넷 가입 시 같이 주는 공유기인것 같네요.

외형은 별 볼일 없는 평범한 공유기입니다.

공유기의 주소로 로그인을 해 보면 재미없는 kt 인터페이스가 우리를 반깁니다.

할 수 있는것도 거의 없습니다.

이제 이 공유기에게 새로운 힘을 줘 봅시다.

우선 뒷면을 봅시다.

딱 봐도 고무 밑에 나사가 있게 생겼군요

고무패킹을 떼고 나사를 풀어줍니다.

뚜껑을 여니 기판이 보이네요.

QCA9557 칩셋과 ESMT사의 1기가비트(128메가바이트) 메모리 모듈이 눈에 띕니다.

해당 칩셋은 720Mhz의 MIPS기반 CPU를 사용합니다.

720Mhz CPU에 128MB 램, 128MB 낸드면 공유기로 살기에는 좀 아깝죠.

저가형 iptime 공유기들은 32메가 램에 8메가 낸드 장착 이런것도 흔합니다.

가장자리에 수상한 핀들이 보이네요.

보통 이런 핀들이 직렬 연결을 위해 쓰입니다.

전압을 측정하여 각각의 핀이 무슨 핀인지 알아봅니다.

어려운거 할필요 없이 전압계 하나면 충분합니다...

가장 아래 핀은 3.3v 나오네요. VCC입니다.

바로 위에 핀은 부팅시 전압이 계속 바뀌는걸 보니 TX인듯 합니다.

맨끝에 핀은 0볼트 나오니 GND이고 중간에 끼인것이 RX이겠죠

정리되었으니 USB 직렬 컨트롤러를 이용하여 컴퓨터와 연결합니다.

PuTTY를 쓰니 연결이 되긴 된것 같은데.. baudrate가 틀린지 글자가 깨집니다.

주로쓰는 baudrate인 57600, 115200 등을 적용해서 확인합니다.

115200이였네요

이제 부트로더와 콘솔에 접근할 수 있습니다.

uboot를 사용하고 Atheros 사의 ap135 SoC 기반인 것을 알 수 있습니다.

부팅이 완료되니 콘솔로 로그인이 가능하네요. 하지만 알려진 비밀번호를 다 대입해봐도 로그인이 되지는 않습니다.

우선 다른 작업에 들어가기 전에 펌웨어를 덤프합니다.

일단 bootinfo 명령어가 있으니 시스템 이미지의 정보는 알 수 있습니다.

낸드에 저장된 주소, 사이즈까지 다 알려주니 작업하기 좋네요

그런데 nand의 정보를 컴퓨터로 마땅히 가져올 방법이 없네요. 부트로더가 tftp 업로드를 지원하지 않습니다.

어쩔수없이 nand의 정보를 터미널에 출력한 다음 수동으로 헥사 파일로 변환해야겠습니다.

리눅스를 사용할 때가 왔군요.

다행히 md 명령어가 있어 시리얼 콘솔로 낸드의 내용을 출력할 수가 있습니다.

이를 저장한다음 파이썬 스크립트를 사용하여 바이너리로 바꾸어 줍니다.

이렇게 펌웨어 덤프가 완료되었습니다. 이제 공유기가 벽돌되기라도 하면 이 덤프 파일을 사용해서 원 상태로 복구하는것이 가능합니다.

binwalk 로 lzma 압축된 시스템 파일을 확인합니다.

0x44 까지는 헤더부분인것 같네요

헤더부분을 제거하고 LZMA 압축을 푼 후에 다시 바이너리를 확인합니다.

커널과 루트 파일시스템이 보이기 시작하네요

Unsquashfs를 사용하여 파일시스템을 봅니다...만 파일을 읽을수가 없다네요?

아마 비표준 squashfs를 사용하는 듯 합니다.

그래도 다행히 이런 임베디드 제조사들이 쓰는 비표준 squashfs 규격을 모아놓은 sasquatch가 있습니다.

이제 파일시스템의 내용도 다 볼 수 있습니다.

하지만 여기에 시스템의 암호는 없네요. 메모리 어딘가에 감추어져 있는 모양입니다.

--계속--

- [스압] KT 무선 공유기 커스텀 펌웨어 개발기 - 2

공유기를 싱글유저 모드로 부팅해봅시다.

먼저 부팅 이미지를 메모리에 로드 한 뒤 setenv로 커널 파라미터를 수정하고 부팅하면 됩니다.

rc를 진행하여 시스템을 마저 준비시키면 passwd 파일을 열 수 있습니다.

섀도 형식으로 되어있네요

섀도 파일의 형식은 $Hashid $Salt $Hash value 로 되어있는데

위 파일의 해쉬 형식은 다음 표와 같군요

MD5-crypt 를 사용하여 솔트 없이 암호화되었으므로 어렵지 않게 비밀번호를 알아낼 수 있습니다.

올레 공유기의 관리자 비밀번호는 tandi였습니다.

올레 개발자가 이 글을 보고 있다면 화들짝 놀라면서 보안 업데이트를 준비하겠죠

관리자 로그인 성공!

슬슬 여기에 설치할 새로운 펌웨어를 준비해 볼 시간입니다.

OpenWRT는 공유기 등에 설치를 위한 리눅스 배포판의 일종입니다.

필요한 모듈들도 다 준비하고

배포판에서 기본 환경 설정을 가져옵니다.

보드 설정을 들어갑니다.

이 공유기의 기반이 되는 AP135 레퍼런스 보드를 위한 프리셋이 있긴 하네요

선택해줍니다.

이후에 알아낸 일이긴 하지만 AP136-010에 내장 스위치 관련 커널 설정이 들어가있어서 그걸 사용하는게 더 지름길입니다.

이것저것 컴파일을 거쳐

드디어 완료되었군요

부트로더의 tftpboot을 이용해서 새로운 펌웨어를 올려 봅시다.

부트로더에서 tftp 접속 주소를 알 수 있으 니 부트로더의 환경변수를 보고 그에 맞게 서버를 열면 됩니다.

그리고 tftp로 펌웨어를 메모리에 올리고 부팅을 시도했는데 체크섬 문제로 실패했네요

그러고보니 올레 펌웨어의 데이터 부분이 0x44부터 시작했었죠.

원래 uboot의 헤더 크기는 0x40일텐데...?

uboot의 소스코드를 확인해 보았습니다.

펌웨어 파일의 형식도 확인합니다.

그림으로 대충 이렇게 나타낼 수 있겠네요

그리고 올레 펌웨어의 헤더부분을 봅시다.

중간에 00 02 04 00 이란 이상한 값이 헤더에 포함되어있네요. 중요한 값 같지는 않고 매직넘버의 연장같네요.

그래서 원래 헤더를 추출하여 해당 값을 더한 후 다시 다시 CRC를 계산하여 새로운 헤더를 만들어주는 스크립트를 만들어 보았습니다.

대충 쉘스크립트를 짜고

파일에 헤더를 새로쓰는 처리를 하고

커널로 부팅하는데 성공했습니다.

하지만 이내 불만을 토로하는군요.

SPI로 작동하는 NOR 플래쉬 메모리를 인식하지 못합니다.

--계속--

- [스압] KT 무선 공유기 커스텀 펌웨어 개발기 - 3 (끝)