Foro Wifi-libre.com

Nuveo "fulldisclosure" del creador de reaver ...

  se amplia consecuentemente la lista de dispositivos Belkin por los cuales sabemos generar el PIN por defecto

  Varios modelos de la marca Belkin forman su PIN por defecto usando el conocido algoritmo desvelado por ZaoChunsheng y popularizado con WPSPIN
  Si echamos un ojo al tema "Algoritmo ComputePIN-C83A35 de ZaoChunsheng : La brecha en la brecha" podemos ver a uno de los modelos Belkin afectados

  Hoy les presento el trabajo de devttys0 (Craig  heffner, el mismísimo creador de reaver) quien publicó hace un poco más de una semana atrás un nuevo algoritmo para otros modelos.
  Ampliamos así nuestra gama de modelos Belkin afectados por brechas conocidas y explotables.

Desensamblar el firmware

  La estrategia es en esencia la misma que en el épico fulldislcosure sobre routers D-link 

• Reversing D-Link’s WPS Pin Algorithm )

  Para "hackear" el firmware, craig ha operado del mismo modo que para el WRT120N ya que le sistema de ofuscación es en esencia el mismo que para los Belkin estudiados

• Reversing the WRT120N’s Firmware Obfuscation

  El firmware en cuestión usa " SuperTask! RTOS"

  Lo primero fue la necesaria intervención de binwalk para encontrar una dirección en el IDA que permita un "des-ensamblaje" correcto.

  Lo que le llamó la atención para tener presa sobre su victima fue este bucle dedicado a rellenar con 0 la sección para datos BSS

  Los bucles para generar 0 en el BSS son fáciles a localizar y usar para hacer "un reverse" ya que producen ceros en un espacio notable de la memoria y el bucle se encuentra generalmente en inicio de código.

  En el caso presente se notó que  desde 0x802655F0 hasta 0x80695574 todo era rellenado con ... 0 
Además el BSS se situá en el código generalmente justo después los otros trozos de códigos para datos
Como el bucle se ha iniciado en el byte 0x2635EB  podemos esperar encontrarnos el inicio de la sección BSS a este nivel :

Restando el tamaño de la sección justo antes del BSS al firmware entero; caemos en un valor sospechosamente muy cercano a 0x800002000 :

0x802655F0 - 0x2635EB = 0x800002005

  Tenemos un "match" casi perfecto y usando 0x800002005 cómo dirección de inicio IDA se obtiene algo más que correcto :

Ingeniería inversa sobre el algoritmo del PIN por defecto

  ¿Como legar hasta al algoritmo del PIN? Podemos empezar a buscar por la función que genera el Checksum wps.
  Es poco probable que encontramos tal cual una función llamada wps_checksum() sin mesa de valores de símbolos.
  Craig observo en sus estudios anteriores que las ensambladores  MIPS en C tienden a producir un conjunto de valores predecibles al generar el PIN por defecto.
Así que ha sacado su script para buscar y localizar a estos valores que indican la generación del PIN por defecto : wpssearch.py
  Y ¡Bingo! consigue localizar estos valores :
Pocas funciones hacen llamadas a wps_checksum y observando estas funciones nos encontramos a una cadena muy... interesante

GenerateDefaultPin

El código multiplica las operaciones con el operador XOR pero lo interesante a este momento es ver en base de que....
Y podemos ver a continuación que se usan dos cosas : elementos sacados de la dirección mac y elementos sacados del serial

GenerateDefaultPin(char *buf, int unused, char *mac, char *serial)

"char mac" y "char serial"

  Conocer el BSSID de un router  es cuestión de encender su adaptador wifi
El serial es otra historia y si las cosas son bien hechas (que no haya una relación directa y linear entre bssid y serial ) es imposible adivinarlo.
Pero si belkin lo regala en sus paquetes probes... la cosa cambia y tenemos todos los elementos para calcular el PIN por defecto

  .... ¡Gracias Belkin! 

Sobre 24 modelos testados, 80% fueron así derivados

A continuación tenéis una lista de los dispositivos afectados conocidos :

• F9K1001v4

• F9K1001v5

• F9K1002v1

• F9K1002v2

• F9K1002v5

• F9K1103v1

• F9K1112v1

• F9K1113v1

• F9K1105v1

• F6D4230-4v2

• F6D4230-4v3

• F7D2301v1

• F7D1301v1

• F5D7234-4v3

• F5D7234-4v4

• F5D7234-4v5

• F5D8233-4v1

• F5D8233-4v3

• F5D9231-4v1

Podemos descargar un código PoC en los repositorios GitHub de devttys0 : Belkin pingen.c
Y les vuelvo a poner un vinculo hacía el tema de Craig: Reversing Belkin’s WPS Pin Algorithm