Желание управлять всем вокруг с телефона вполне понятно для любого, кто хоть как-то связан с IT. Именно поэтому пару лет назад в наших домах стали появляться умные чайники, лампочки и прочие «кофеварки на Linux». А это, в свою очередь, означало, что рано или поздно подобные устройства попадут под прицелы исследователей ИБ — это лишь вопрос времени. Сегодня мы рассмотрим уязвимости в одном из таких устройств — умной Wi-Fi-розетке TP-Link HS110 Wi-Fi.

 

О чем речь

HS110 Wi-Fi — это Wi-Fi-розетка с мониторингом энергопотребления от TP-Link. Устройство подключается к обычной розетке и после настройки предоставляет:

  • удаленный доступ для управления подключенными устройствами со смартфона с помощью мобильного приложения Kasa;
  • подачу и отключение электричества по расписанию для управления подключенными приборами;
  • мониторинг энергопотребления для просмотра статистики энергопотребления в реальном времени.
Умная розетка TP-Link HS110 Wi-Fi
Умная розетка TP-Link HS110 Wi-Fi

Разумеется, HS110 Wi-Fi — это далеко не первое устройство подобного класса, так что долго останавливаться на его функциональности нет смысла. Исследователи Любомир Штрётман (Lubomir Stroetmann) и Тобиас Эссер (Tobias Esser) провели анализ разреверсенной прошивки розетки и ее Android-приложения Kasa, сетевого трафика между приложением и устройством, а также фаззинг его проприетарного протокола. На момент написания статьи об исправлениях ошибок ничего известно не было, а поскольку устройство достаточно типовое, этот подход может успешно применяться для исследования и других девайсов подобного класса.

 

Настройка устройства

Умная розетка имеет только две физические кнопки — переключатель «Вкл./выкл.» и кнопку перезагрузки, которая сбрасывает настройки устройства, если ее держать нажатой более пяти секунд. После включения ненастроенное устройство с заводскими настройками запускает незащищенную точку доступа с именем вида TP-LINK_Smart Plug_XXXX, где XXXX — четыре шестнадцатеричных числа. После быстрого поиска в WiGLE было найдено несколько умных розеток TP-Link с настройками по умолчанию:

Список умных розеток TP-Link с настройками по умолчанию из WiGLE
Список умных розеток TP-Link с настройками по умолчанию из WiGLE

INFO


Кстати, не только умные розетки подключаются подобным способом, но и другие устройства. Например, популярный (и неоправданно дорогой) комбайн LIFX настраивается по схожему алгоритму.

Приложение от TP-Link для управления такими устройствами — Kasa подключает смартфон к созданной точке доступа, отправляя широковещательные UDP-пакеты 255.255.255.255 для поиска IP-адреса устройства и последующей установки имени SSID и пароля, которые пользователь ввел в приложении. Затем умная розетка выключает точку доступа и соединяется с указанной Wi-Fi-сетью как клиент.

Авторы провели KARMA-атаку, используя MANA Toolkit от SensePost, принудительно деаутентифицировав умную розетку и попытавшись соединиться небезопасной поддельной точкой доступа с тем же именем. Увы, атака не увенчалась успехом, хотя таким образом можно вызывать временный отказ от обслуживания устройства.

 

Исследуем прошивку TP-Link HS110

Следующим шагом авторы скачали официальную прошивку для устройства HS110(US)_V1_151016.zip и натравили на него binwalk для анализа содержимого.

Содержимое прошивки HS110(US)_V1_151016.zip
Содержимое прошивки HS110(US)_V1_151016.zip

Как видишь, прошивка содержит обычную Linux-систему, состоящую из трех частей:

  • U-Boot Bootloader 1.1.4 (Oct 16 2015 — 11:22:22);
  • Linux Kernel 2.6.31 — LSDK-9.2.0_U11.14 (yt@yangtao.localdomain);
  • Squashfs filesystem.

В файловой системе авторы нашли следующие интересные файлы:

  1. /bin/busybox v1.01 (2015.10.16 — 03:17+0000).
  2. /etc/newroot2048.crt — этот сертификат используется для проверки облачного сервера. Файл содержит корневой сертификат VeriSign Class 3 Public Primary Certification Authority — G5. Это означает, что при установлении TLS-соединения в облако проверяется, подписан ли предоставленный сервером сертификат с помощью Symantec VeriSign CA for Extended Validation (EV) certificates (CA pinning). Атакующий может купить себе собственный EV-сертификат и использовать его для своего сервера, чтобы он «выглядел» как облако.
  3. /etc/shadow — после дешифрования оказалось, что пароль media

    root:7KBNXuMnKTx6g:15502:0:99999:7:::

  4. /usr/bin/shd — основное серверное приложение.
  5. /usr/bin/shdTester — клиент для калибровки экрана энергии.
  6. /usr/bin/calDump — дамп данных калибровки из /dev/caldata.

Вся проприетарная серверная логика находится в исполняемом файле shd (Smart Home Daemon), который является MIPS32 R2 Big Endian:

shd: ELF 32-bit MSB executable, MIPS, MIPS32 rel2 version 1 (SYSV),
dynamically linked, interpreter /lib/ld-uClibc.so.0, corrupted section header size      

Также в нем содержится OpenSSL 1.0.1j 15 Oct 2014 для установки TLS-соединения с облачным сервером.

 

BusyBox

Предоставляемая версия BusyBox из прошивки подвержена уязвимости CVE-2011-2716, инъекции команд в компоненте udhcpc (DHCP-клиенте). Она позволяет внедрять команды в одну из следующих DHCP-опций:

  • (12) Hostname;
  • (15) Domainname;
  • (40) NIS Domain;
  • (66) TFTP Server Name.

Проанализировав исполняемый файл, авторы нашли, что shd создает shell-скрипт /tmp/udhcpc.script:

#!/bin/sh
if[ $1 = renew –o $1 = bound]
then
    ifconfig $interface $ip netmask $subnet
    route del default
    route add default gw $router
   echo "nameserver $dns" > /tmp/resolv.conf
fi

а затем выполняется udhcpc:

/sbin/udhcpc –b –H "HS100(US)" –i br0 –s /tmp/udhcpc.script    

К сожалению, здесь hostname захардкожена, а другие опции не используются. Так что уязвимость неэксплуатируема.

 

Сканирование портов

Запустив Nmap после сканирования всех TCP и UDP, получили следующее:

  • 80/tcp — HTTP;
  • 9999/tcp — TP-Link Smart Home Protocol;
  • 1040/udp — TP-Link Device Debug Protocol (TDDP).

Веб-сервер на 80-м порту отвечает бессмысленными троеточиями, вне зависимости от запроса:

HTTP/1.1 200 OK
Server: TP-LINK Smart Plug
Connection: close
Content-Length: 5
Content-Type: text/html    
...

Внутри shd этот ответ HTTP-сервера зовется fake_httpd и всегда возвращает захардкоженный ответ.

Что происходит на 9999/TCP и 1040/UDP

TCP-порт 9999 используется для управления умной розеткой в локальной сети с помощью приложения Kasa и описан в TP-Link Smart Home Protocol, а UDP-порт 1040 — в TP-Link Device Debug Protocol.

 

Исследуем TP-Link Smart Home Protocol

Прослушав локальный Wi-Fi-трафик, авторы увидели, что мобильное приложение общается с HS110 через порт 999, используя данные, похожие на зашифрованные. После декомпиляции Android-приложения они нашли функцию шифрования:

Продолжение статьи доступно только подписчикам

Вариант 1. Оформи подписку на «Хакер», чтобы читать все статьи на сайте

Подписка позволит тебе в течение указанного срока читать ВСЕ платные материалы сайта, включая эту статью. Мы принимаем оплату банковскими картами, электронными деньгами и переводами со счетов мобильных операторов. Подробнее о подписке

Вариант 2. Купи одну статью

Заинтересовала статья, но нет возможности оплатить подписку? Тогда этот вариант для тебя! Обрати внимание: этот способ покупки доступен только для статей, опубликованных более двух месяцев назад.


Комментарии

Подпишитесь на ][, чтобы участвовать в обсуждении

Обсуждение этой статьи доступно только нашим подписчикам. Вы можете войти в свой аккаунт или зарегистрироваться и оплатить подписку, чтобы свободно участвовать в обсуждении.

Check Also

Компания Oracle выпустила экстренный патч для критических уязвимостей в продуктах PeopleSoft

Инженеры Oracle выпустили внеплановый патч, исправляющий пять уязвимостей. Одна из проблем…