久久久国产一区二区_国产精品av电影_日韩精品中文字幕一区二区三区_精品一区二区三区免费毛片爱

<center id="yauec"><acronym id="yauec"></acronym></center><center id="yauec"></center>

<li id="yauec"><dl id="yauec"></dl></li><li id="yauec"><dl id="yauec"></dl></li>

<rt id="yauec"></rt>

<code id="yauec"></code><code id="yauec"><delect id="yauec"></delect></code>

<li id="yauec"><source id="yauec"></source></li>

<button id="yauec"></button>

機械社區

標題: 顛覆你的硬件觀！藏在硬盤里的后門 [打印本頁]

---

作者: crazypeanut    時間: 2014-2-9 15:29
標題: 顛覆你的硬件觀！藏在硬盤里的后門
轉個貼，我們該醒了【顛覆你的硬件觀！藏在硬盤里的后門。我們所有的電腦都不設防】
. c, G5 T' K, D. R
) P" Z% t% k" |
UP主語：不掌握核心技術，只有死路一條。

. J) G( T# o1 Z6 ]' Q$ r1 |2 ?2 G下面是轉貼
" N6 f- J/ a& w0 _8 q
) K9 J: |1 H( \  N1 z無論你的硬盤怎樣格式化，怎樣對磁盤充零、清MBR，都無法清除這個后門程序。只要你的硬盤通電，它就會監控你硬盤里的一切。只要你連上網絡，你硬盤里只要有別人感興趣的東西，早就被拿走了。因為這個后門是藏在硬盤的“固件”里的。

# U. U& S. d4 h; Y9 {- Q英文原文：Hard disk hacking

5 S1 U" A3 w9 ]& K, F; S# [( ]http://spritesmods.com/?art=hddhack&page=1

4 y' Z5 H: v  }+ phttp://spritesmods.com/?art=hddhack&page=2
3 Q5 Q4 J9 s- y! i5 q
---------------------------------------------------------------

% G3 i" J7 F( m/ w  n　　OHM2013（Observe, Hack, Make. ）是一個專為黑客、制造者和那些有探究精神之人舉辦的國際戶外露營節，為期 5 天。今年 7 月 31 日在荷蘭 Geestmerambacht 舉辦，有 3000 人參與。

. ]! A, I7 [& L' z- y  L　　這篇文章相關內容已在 OHM2013 已經公開。原理是利用硬盤的一些智能機制，在某個位置嵌入一些信息（比如：登錄信息），然后操作系統驗證用戶登陸時，會不自主地讀取黑客預留下的用戶名和密碼。

　　簡介
' q5 O9 j, r9 g- O1 s
" `: ~  l0 y. F. o　　硬盤：如果你在看這篇文章，我肯定你起碼用過一兩個硬盤。硬盤很簡單，基本就是一些 512 字節的扇區，由遞增的數字標明地址，稱之為 LBA，也就是“邏輯塊尋址”。電腦可以向連接的硬盤的扇區中讀寫數據。通常會有個文件系統把這些扇區抽象成文件或文件夾。
; Y  c$ D* J( `6 m
(, 下載次數: 38)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

  w9 V4 }& c( A% t
如果你從這個幼稚的角度看硬盤，你會認為硬件應該也很簡單：你需要的就是個能連接 SATA 接口的東西，然后可以定位讀寫頭，從盤片上讀寫數據。但是可能不止這么簡單：硬盤不是還有處理壞塊、S.M.A.R.T.屬性的功能么？不是還有什么緩存需要管理的么？

　　以上這些意味著硬盤中有些智能的東西，有智能就意味著可以黑掉它。我就喜歡可以黑的東西，于是我決定要看看硬盤是如何在非機械層面上工作的。這種研究以前在很多硬件上做過：從筆記本的 PCI 擴展模塊到嵌入式控制器，甚至是蘋果的鍵盤。通常這些研究都是為了證明這些硬盤可以被破解，導致其受到軟件的影響，于是我決定達到同樣的目標：我要在這次破解中讓硬盤繞過軟件安全機構。
& [# w- |0 g2 d' C5 M
/ {' L0 T5 n4 @5 L　　PCB 上的部件
. h2 _# b1 Z0 Z- c
　　要想知道硬盤是否可以被破解，我需要更了解它們。如你們大多數一樣，我也有一摞或壞或舊的硬盤來一看究竟：
5 ?5 w2 |3 d5 S/ `# n
(, 下載次數: 41)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

* Q5 U% C" j8 _/ R7 f5 u0 v
當然了，我們都知道硬盤的機械結構應該是好用的，我對那些部分也不感興趣。我的興趣在于大多數硬盤背面都有的那一小塊 PCB 板子，上面有 SATA 接口和電源接口。這種 PCB 看起來是這樣的：
7 M8 L* `' _/ ?, `
, |1 A& h3 N. E2 A8 Y. g (, 下載次數: 45)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

+ m9 Y1 s* r3 w$ f% v3 L可以看見 PCB 上有四塊芯片。接下來說說這些芯片：

" C& O2 |4 L6 F7 ?6 \  u! a. [ (, 下載次數: 46)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

這是一塊 DRAM（動態隨機存儲器）。這塊很好處理，芯片手冊很好找。這些芯片的容量一般在 8MB 到 64MB 之間，對應的就是硬盤標稱的緩存容量。

: g* m. y# p+ ^' p (, 下載次數: 40)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

這個是電機控制器。這不是個標準器件，數據手冊不好找，但是這些控制器一般都有容易找的差不多的同系列產品。ST Smooth 控制器大概是最常用的一種了；除了驅動電機，它還能進行電源整流，還帶一些A/D變換通道。

: O& O. [+ G; T+ k. ~4 n (, 下載次數: 39)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

這是一塊串行閃存。這個也好處理，容量一般在 64KB 到 256KB 之間。看起來這個是用來存儲硬盤控制器的啟動程序。有些硬盤沒有這個芯片，而是在控制器芯片內部有閃存來存儲程序。

(, 下載次數: 41)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

5 C) a0 F( l# r8 R1 }這些小東西不是芯片，而是壓電震動傳感器。當硬盤受到撞擊時，它們可以把磁頭移到安全的地方，但是更有可能它在某個地方標記一個值，表示你的保修無效，因為是你自己摔的硬盤。

(, 下載次數: 42)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

  G1 \' _# h4 O8 I4 C這里才是奇跡將要發生的地方：硬盤控制器。多是由 Marvell、ST 或者其他的 LSI 公司制造。有些硬盤廠商自己做控制器：我見過三星和西數就有自己的控制芯片。因為其他的部分都很好處理，這一塊才是我的興趣所在。

　　不幸的是，這些芯片都沒有文檔。話說這些制造控制器的廠商不公開文檔有些不厚道真是說輕了：他們甚至在自己的網站上都不提這些芯片！更不幸的是，整個互聯網也幫不了我：搜這些芯片手冊只能找到沒有手冊的手冊網站，和賣芯片的中國廠商……

　　那么，沒有最重要的芯片手冊，就意味著我們的計劃擱淺了么？

5 {( s& W1 W2 i* N' D　　連接 JTAG

  [# ~3 i, \0 b; n　　幸運的是，總有些辦法找到除了芯片手冊以外的有用信息。我就搜到這么一個。

4 f0 f4 A+ \4 X% }' \* \8 q　　我找的是 HDDGuru 論壇上一個叫 Dejan 的人做的連接線。Dejan 不知怎么把他硬盤控制器的內部閃存廢掉了，然后想知道有沒有辦法，要么從外部閃存啟動控制器，要么重寫一下內部閃存。過了五天，沒人回應他，但是這哥們很有創造力：他又發了個帖子說他找到了 JTAG 口的管腳。這真是個重大發現：JTAG 接口可以用來控制控制器。你可以用它啟動控制器、重啟、修改內存、設置斷點等等。然后 Dejan 發現了如何關掉控制器的啟動 ROM，找到了硬盤一個串口，然后試圖恢復他的閃存 ROM。后來他又提了一些關于更新閃存的過程，最后消失在茫茫人海中了。
6 ?, E6 ]9 G% Y0 C
$ ]  T) Z" i4 @1 p9 i　　這些都是有用的信息：至少我知道了西部數據的控制器是 ARM 內核的，有 JTAG 接口。這些硬盤通常有串口，雖然沒有使用但是可以用來調試程序。有了這些，我應該有足夠的信息可以開始破解了。

　　嗯，這些是我的準備工作：
! i3 s. r7 W9 `$ P' g: C: c
(, 下載次數: 44)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

  Q/ J% ^. X  h1 V( ?: C) Z- T" E
& k5 C# D3 P6 b那個紅色的是一塊 FT2232H 的小板，大概 30 歐元，很便宜，可以用來進行 JTAG 調試，串口，還有 SPI 通信。把它連到硬盤的 JTAG 口，還有串口上。硬盤直接連到我電腦主板的 SATA 口上，還有外部 ATX 電源。我用 OpenOCD 來驅動 JTAG 接口。
6 l$ E  R  m. @7 M" k/ R; f% S
　　現在的問題是：這玩意真能工作么？Dejan 用的是 88i6745 控制器的 2.5” 250G 硬盤，他檢測到的是 ARM9 內核。我找的是 88i6745 控制器的 3.5” 2TB 硬盤，有不同的格式因素，而且有點新。幸運的是，OpenOCD 可以自動檢測 JTAG 連接的設備。如下所示：
( ]# ?! M- S! Z, I
% x/ B  s; h2 ^# M4 u9 @ (, 下載次數: 41)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

這我就有點搞不懂了……我本來估計會有一個 tap，就是單獨的 ARM 內核……可這里竟然有三個 tap……難道這個片子有三個 ARM 內核？

- b' r; a( B% ~# ?* S0 _; L3 U" T　　一番研究后，我發現這個芯片真的是有三個內核。兩個是 Feroceon 的內核，是比較牛逼的類似 ARM9 的內核，還有一個是 Crotex-M3 內核，比較小，相比更像微控制器的核心。鼓搗了一陣（以及后來的研究）發現這些控制器各自有不同的功能：

' n- t2 o6 J" q" ]: k1.Feroceon 1 處理對磁盤的物理讀寫操作
2.Feroceon 2 處理 SATA 接口
8 |3 a- \. M/ W3.Feroceon 2 同時處理緩存以及將邏輯塊尋址翻譯成柱面/磁頭/扇區
+ n! {$ o6 f4 R2 ^1 J9 [% g/ J4.Cortex-M3 貌似啥都不管？我給他關掉硬盤也沒啥問題。
( R7 C3 n) M2 ?　　現在從哪個核心開始破解呢？我的目標是通過使用修改的硬盤固件來影響系統的安全。最簡單的方法，同時也可能是最難檢測的方法就是直接修改數據。這種方法不需要修改磁盤上的數據，固件可以使自己隱身不可見。為此，我需要找到一個合適的核心來進行監聽：我需要一個能在從硬盤到 SATA 線的傳輸過程中接觸到數據的核心，同時可以被操縱在磁盤和 SATA 線纜之間修改數據。

9 I0 l6 F0 t1 V　　現在，數據是如何從硬盤盤片上送到 SATA 借口上的呢？憑黑客的直覺我推測：

9 U# w$ f6 k, e2 F3 J, I　　如果處理器工作在 150MHz，使用標準的內存復制，它們就只能達到 150*23/2=2.4Gbp 的速率，而實際情況要比這個少很多。硬盤的速度是 6Gbps，所以肯定有些加速硬件參與其中。最可能的加速硬件應該就是使用 DMA（直接訪問內存）。那就意味著數據直接從磁頭讀回來放進內存，沒有處理器的參與。SATA 口也是一樣：處理器只指明數據在哪里，DMA 會直接從內存中讀數據。
8 c# j8 E9 q8 D" Z& Q: j" a- a
　　如果是這樣的話，DMA 引擎指向的內存會在哪呢？硬盤的緩存是個好地方：數據從磁盤讀出來總是要放進緩存的，所以當讀取磁盤的時候馬上去那里復制也就說的通了。我之前發現第二個 Feroceon 負責管理緩存；于是它就成了我的首選目標。
) v$ Z$ {" w* O
　　就這樣，我推斷數據通過 DMA 來讀寫，不需要任何 CPU 動作。現在的問題是：既然 CPU 不會在正常操作中接觸數據，那么 CPU 能不能（非正常地）接觸到數據呢？為了解答這個問題，我首先使用 JTAG 連接，用了一些反匯編，來看看 Feroceon2 號的內存。
! I$ ~# F( g) f$ G& ^" Z, L! r/ s% z
(, 下載次數: 43)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

如你所見，內存圖有些零碎。RAM 中有一些小塊散落著，還有一些 IO 空間和 IRQ 空間，以及一塊內部啟動的 ROM。還有一塊 64MB 的數據段，我猜這個是用作緩存的 DRAM。一起來看看是不是這樣。首先，我把硬盤加載到我的電腦上，在硬盤上的一個文件里寫入「Hello world」。現在看看我是否能從 64MB 的內存中找到這個字符串。

9 u' ~, n7 m8 b6 V (, 下載次數: 36)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

沒錯，找到了！看起來 Feroceon2 號可以讀取緩存，并對這塊 64MB 的 DRAM 進行了地址映射。

　　注入代碼

# R6 ]7 ], B  x7 }/ F　　當然了，如果我想要在緩存里修改數據，我可不能每次都完全掃描整個 64MB 的緩存：我需要知道緩存是如何工作的。為此，我需要進行反匯編并理解硬盤的固件，至少要明白緩存的函數。

$ n  K0 p- ]3 P) Y　　對固件進行反匯編，可不是個簡單的活。首先，代碼混合了 ARM 和 Thumb 指令，如果你沒有自動切換兩種指令的反匯編器就很令人抓狂了。而且，沒有那些能使反匯編更簡單的信息了：一般程序都被寫好了，當有東西出錯總會彈出類似「Couldn’t open logfile!」的信息。這些信息對于了解代碼功能有很大幫助。而這個固件，一條信息都沒有：你得自己看代碼來知道代碼在做什么。代碼庫好像有點老，而且有些時候反匯編的感覺就像給代碼加了很多特性，把所有事情都搞得更復雜。

, h3 V4 n* h; Z% b4 ~" C　　當然，也有幾件事使得反匯編相對簡單些。首先呢，西部數據沒有故意混淆代碼：沒有在指令中間用些跳轉的招數。還有，因為 JTAG 接口的存在，你可以干預代碼的執行，設置斷點，或者直接修改，讓你非常容易地知道程序在做什么。

. D8 W! K& a8 U7 z9 @  {2 e9 t　　我看了很久代碼，試著去理解，有時候用調試器驗證我猜的對不對，最后我找到了緩存系統的核心代碼：在 RAM 中的一個表，我稱之為「緩存描述符表」。
& U7 @+ a7 h& @; e1 V
(, 下載次數: 32)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

" Y) a  z+ ~; n4 s( d. A緩存描述表的每一項描述了緩存中的一個塊。它包含了可能在緩存中的磁盤扇區的起始 LBA、緩存中存有多少硬盤數據、一些標明了緩存項的狀態標志符，還有一個標明了緩存數據在內存中未知的數。

　　現在，緩存描述符表的秘密還沒有被揭開，我能否在數據送出 SATA 口之前截斷磁盤讀取碼？為此，我需要在磁盤控制器上執行我自己的代碼。不僅如此，我還需要確定代碼能否在正確的時間運行：如果它修改緩存太早，數據還沒進去；如果太晚的話，數據已經送到 PC 了。
8 w/ K( x9 r" E# y, o
　　我的方法是綁定在一個已存在的任務上。我破解的是 Feroceon2 號，這個 CPU 負責所有的 SATA 傳送，所以肯定有個服務是負責設置 SATA 硬件去緩存中讀取數據。如果我找到這個服務，我就可能在它之前運行我的代碼。

　　在看了很多代碼，設置了很多斷點，修改了很多次之后，我最終找到了某個符合條件的服務。我通過連接讓這個服務在執行前先運行我的代碼。這是原來的代碼：
* `3 k* x/ }. T+ Z( f
000167BE ; r0 - slot in sata_req
& k8 t# P  ~3 y; C, L3 j5 k000167BE sub_0_167BE:
* m6 O6 |& g$ g000167BE PUSH {R4-R7,LR}
000167C0 MOVS R7, R0
# [% s) y6 E) @) V. V7 g0 c000167C2 LSLS R1, R0, #4
000167C4 LDR R0, =sata_req
  {! j$ @. O9 s6 u000167C6 SUB SP, SP, #0x14
000167C8 ADDS R6, R1, R0
7 d: B: W. \$ w, z2 v, \000167CA LDRB R1, [R6,#0xD]
7 t0 U( s% g) y# J7 a  I# b: i: Q000167CC LDR R2, =stru_0_40028DC
000167CE STR R1, [SP,#0x28+var_1C]
; S0 I5 z- j5 F! G5 |: c& u000167D0 LDRB R0, [R6,#(off_0_FFE3F108+2 - 0xFFE3F0FC)]
" D# o9 t4 |$ l5 T000167D2 LDRB R5, [R6,#(off_0_FFE3F108 - 0xFFE3F0FC)]
000167D4 LSLS R0, R0, #4　　這是改成連接到我的代碼之后：

6 w: z$ [9 W5 K$ J+ \: N3 L* g000167BE ; r0 - slot in sata_req
! t6 e" n- Y& x3 e000167BE sub_0_167BE:
000167BE PUSH {R4-R7,LR}
4 Q: U, V8 v5 _; ^5 U000167C0 MOVS R7, R0
( ^) c1 \  z$ v- c1 m4 C0 ~000167C2 LD R6, =hookedAddr
000167C4 BX R6
) v+ a! ^9 s" F  [6 V4 V000167C6 .dw checksumFix
000167C8 .dd hookedAddr
! X3 f' K" K, ?: z000167CC LDR R2, =stru_0_40028DC
8 Y/ [( B! x/ @  o; S3 M000167CE STR R1, [SP,#0x28+var_1C]
* J& i$ R) e- d9 R000167D0 LDRB R0, [R6,#(off_0_FFE3F108+2 - 0xFFE3F0FC)]
( X, H7 u6 l6 `, L# G& ~4 z! P$ l000167D2 LDRB R5, [R6,#(off_0_FFE3F108 - 0xFFE3F0FC)]
- W4 c9 P! Y2 S000167D4 LSLS R0, R0, #4
6 T8 f! J8 I' E9 o, `8 G/ u...
) N% \9 @+ m. c' \0 X( D% x7 ZFFE3F000 PUSH {R0-R12, LR}
" S/ J4 K3 o  m1 E& X' jFFE3F004 BX changeThingsInCache
FFE3F008 POP {R0-R12, LR}
FFE3F00C LSLS R1, R0, #4
FFE3F010 LDR R0, =sata_req
FFE3F014 SUB SP, SP, #0x14
FFE3F018 ADDS R6, R1, R0
FFE3F01C LDRB R1, [R6,#0xD]
FFE3F020 BX 0x167CC　　如你所見，原來的指令被跳轉到的新代碼替代了，新代碼放在本來沒用到的地址 0xFFE3F000，然后又加了一句，保證代碼域的校驗和有效。如果沒這么做的話，硬盤會嘗試從盤片上讀取備份，那可不是我想要的。跳轉的代碼執行了一個服務，叫做「changeThingsInCache」然后執行修改代碼本該做的指令。最后接著執行本來的服務好像什么也沒發生過一樣。
# Z9 l1 S+ H0 `9 p1 @% a% I. Z
- y+ L4 ?. V/ ~) E6 M+ G* k　　現在我要寫的就是修改緩存數據的服務。首先做個測試，我決定用一個下面的用偽代碼寫的服務：

( W# g7 C- @. Bvoid hook () {
foreach (cache_struct in cache_struct_table) {
- d9 l' w: P4 Dif (is_valid (cache_struct)) {
& }* w! h' S4 @- u! {$ O7 tforeach (sector in cache_struct.sectors) {
sector[0]=0x12345678;
" @: ~+ k  r+ w3 D8 a+ @3 A) g" P3 h}
}
}
( G2 J0 T- J) P+ d}　　這一小段代碼會在每次調用的時候用0×12345678 代替緩存中每個扇區的前四個字節，所以如果我把這個上傳到硬盤的話，我在我看到的每個扇區前面都會看到這個數字。我通過 JTAG 上傳了代碼……
, h8 @! O- b; m; _# N' H/ [
(, 下載次數: 42)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

2 {" U5 K9 @; s& _
然后你看：
& ?& x3 \' p, ~% z& q
(, 下載次數: 52)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

一勞永逸

, d9 _+ k" k" o" U$ D3 y2 G　　當然了，我可以將固件完全破解，但是每次硬盤啟動都需要用 JTAG 修改 RAM，這就得不償失了。我得讓它保持不變，也就是說，我要把我的修改存在某個地方，每次硬盤啟動都會帶上這段修改程序。

1 B" n$ q% x+ p' [1 N1 R　　我選的地方是閃存。我大概也可以放在磁盤本身的保留扇區上，但是如果我一旦弄錯的話，我就沒法恢復我的硬盤了。閃存芯片只是一個八個腳的標準件，所以我可以輕松地摘下來，刷掉閃存再裝回去。為此，我把它焊下來然后放到萬用板上，這樣我就可以在編程器和硬盤之間輕松切換了。

(, 下載次數: 37)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

9 N  s3 D% [. E6 [
現在，應該在閃存里寫什么呢？很幸運的是，芯片中存儲的格式已經找到了：它包含了多塊數據，還有一個表在最開始描述了這些數據。這個表描述了閃存中代碼塊的位置，如何壓縮的（如果壓縮了的話），代碼塊應該在放在 RAM 的什么位置，而且在最后的地址中是一個執行指針，標記了啟動器應該跳到什么地方去執行程序。

$ p, S5 G4 y3 _" \1 G　　不幸的是，我不能修改閃存中的代碼；我想加鉤子的地方的數據被某種不知道的壓縮算法壓縮了，我就不能修改了。然而我能做的是增加一個額外的代碼塊，修改執行地址這樣這個代碼塊就可以在其他之前執行了。這樣一來就簡單多了。當我的代碼塊執行的時候，我就可以在已經解壓的代碼中加入我的鉤子了。

% x$ z: Z% f3 W4 ^　　當然，我得反匯編，再重編譯閃存的二進制代碼。我為此做了個小工具，非常俗地起名為「fwtool」。這個小工具可以讀出閃存中的很多數據塊，并把頭翻譯成文本文件以方便修改。接著你就可以修改，刪除或者加上代碼，然后重新編譯成一個固件，準備刷回去。我用它把我的代碼加到鏡像中，再刷回到芯片里，把芯片裝回硬盤，啟動備份的文件，然后：

% d+ @  d* e- o. m4 t7 `0 { (, 下載次數: 38)

上傳

點擊文件名下載附件
下載積分: 威望 -10 點

1 E2 T" \6 X* n
- e# X- D& A) {) z0 @9 M結果并不新鮮：就是我之前做過的。唯一的變化就是我不用 JTAG 就能辦到了。

: Y& J7 U1 }2 l7 g8 d% D. h6 D　　刷軟件
0 t, }; T6 v- y$ X1 y( x
　　雖然閃存這邊有了很大進展，我還是不能開始我的黑客腳本：我相信不會有任何一個服務器公司會接受這些帶有反匯編又重匯編的芯片的硬盤。我需要想個辦法能讓芯片不從板子上摘下來就可以刷固件，最好是能直接在硬盤安裝的電腦上刷。

. I' J1 j% ^  E( \5 h% G7 v8 T　　西部數據的固件升級工具為此提供了可能性：這個工具簡單地在 DOS 環境下的把新固件寫進閃存和服務區——也就是保留扇區。根據網上資料，這個工具使用的所謂「Vendor Specific Commands」命令。也有一些其他的工具可以修改固件：比如，有一種概念驗證性的代碼，可以使用未使用的保留扇區來隱藏數據。最后有一組工具叫做「idle3-tools」可以通過修改固件中的字節來修改硬盤的閑置行為。這個代碼同樣使用 VSC，通過 Linux 系統的 SCSI（小型計算機系統接口）直通 IOCTLS（輸入輸出控制系統）這種「正式」的途徑來修改代碼。我需要「借用」它的源代碼，修改一下然后整合到我的 fwtool 里面。在胡亂猜了一陣 VSC 參數之后，fwtool 突然可以讀寫電腦上硬盤的閃存芯片了。
: p. w0 `& m) T  ?
3 p0 x" V& t$ U0 Y( M0 l　　有了這個工具，我的攻擊基本完成了，如果一個黑帽子黑客獲得了一個帶有這樣硬盤驅動器的服務器的最高權限，他就可以使用 fwtool 遠程獲取硬盤閃存，修改然后刷回去。最終，主機的主人會發現我用他的主機為非作歹，然后可能會重裝系統，斷掉黑客原來進入主機的路。

　　但是有了這個破解了的固件，攻擊者可以操縱硬盤在新安裝的系統里繼續為非作歹。首先他需要觸發行為，這需要事先在硬盤里寫入一個破解固件需要的某個特定字符串。這個字符串可以在任何一個文件中：攻擊者可以向服務器上傳一個帶有代碼的 .jpeg 文件。他也可以通過向服務器發送在 URL 中追加了特定代碼的文件請求來實現。這最終會在服務器的記錄文件中結束，觸發利用。

　　接下來，被破解的硬盤固件就開始搗亂了。比如，他會等待主機讀出/etc/shadow 中的文件，其中存儲了 Unix/Linux 的所有密碼，然后立即修改成攻擊者之前寫進去的一些東西。當攻擊者之后嘗試用他自己的密碼登入系統的時候，主機會根據修改過的/etc/shadow 判斷密碼，攻擊者就可以再次輕松登錄。

　　這是我做的演示。你可以看見我沒能成功登錄主機的根用戶。然后我啟動破解，給它一個代替密碼的哈希值，也就是密碼「test123」。因為 Linux 系統把影子文件緩存了（如同所有最近存取的文件），我需要制造很多硬盤活動把緩存清出去；這樣，當我再次登錄的時候，Linux 系統會再次讀取磁盤上的影子文件。最終，緩存已清空，我可以用假的「test123」密碼登錄根用戶了。
8 M. \( x1 i9 N3 g
% y4 c/ p' _! p1 C　　其他用法

5 o/ u- ]( `9 v# k1 |8 a- n　　當然了，恢復服務器中清除的隱秘登錄方法并不是我研究成果的唯一用法。這同樣可以用于防御目的。

　　例如，你可以做一個不可復制的硬盤：如果扇區的讀取模式是隨機的話，像正常的操作系統讀取文件系統，硬盤會正常工作。如果硬盤是有序的讀取，像硬盤復制設備那樣的話，硬盤會篡改數據，無法復制出原來的內容。
  Q0 w, a! z# ^% N! A/ E
　　硬盤控制器作為一個通用控制器也是有的玩的。你手里的是三個性能不錯的 CPU 核心，連著一個相當大的 RAM。還有一個 UART 作為串口，至少兩個 SPI 接口：一個連接到閃存 ROM，一個連到電機控制器。你可以通過升級外部閃存芯片來給處理器加載代碼，或者甚至在啟動加載器上用串口加載。為了演示芯片的能力，我在硬盤上移植了一個相當普及的軟件。這個 demo 只是概念驗證性的，串口是唯一工作的外圍設備，而且沒有用戶空間。雖然如此， 我還是很驕傲的宣稱我在我的硬盤控制器上裝了一個 Linux。在頂端，是標準的命令行（硬盤加載在/mnt 下），低端是我在硬盤串口上的輸出。
6 b9 [4 v4 E1 V! `
　　在此多解釋一下這是怎么工作的：內核和啟動都封裝成每塊大小都是一個扇區的一個個的包，包的前面帶有特殊字符串和編號數字。通過從磁盤讀取數據，內核和啟動最終會進入緩存。寫入特殊字符串「HD, Inx!」最終觸發了修改過的固件，在緩存中搜索所有扇區，重編譯內核然后啟動。但是一個沒有內存控制單元的內核也需要特殊格式的用戶空間。我不能把這個也編譯了，所以內核最終因為找不到 init 來執行而崩潰。
! r6 H$ g+ o6 c' b& d
+ U9 Z/ G7 H) `$ p) L　　結論
" C+ J8 B) @  U! F0 d0 c
; A  l8 C1 Z1 F5 I　　是的，就是這樣。雖然硬盤控制器如同一個不知其究竟的野獸，它仍能通過逆向工程加以了解，并為其寫出代碼以執行。對控制器的未知，使得通用破解充滿難度，令我懷疑這東西是不是永遠不會出現一個惡意的固件補丁：相比對每個服務器的每個硬盤固件進行逆向工程加以破解，還是找一個 0day 漏洞更加簡單吧。
: f* q0 Z5 i; m& T, w! t
# c' A8 U( B0 `8 c　　我還希望證實一個壞掉的硬盤仍然能夠使用。當硬盤的機械部分壞掉的時候，PCB 仍然帶有可用的嵌入式系統，其性能相當不俗，尤其是壞的硬盤基本都不要錢就能拿到。

5 ^$ E, x# T5 J. j1 Q　　開放安全工程的源代碼什么的太惡劣了。我想開放代碼，但是我不想為由此產生的大量的「永久破解」的服務器負責……我決定做個妥協：你可以在這里下載代碼，但是我移除了影子替代部分的代碼。注意：反正我不負責讓整個過程完全可運行；黑客，你自己來吧。

--------------------轉貼完

UP主語，一個黑客都能在硬盤固件里設置后門，那么生產廠商能做些什么，我們知道多少呢？？這篇文章，看得懂的知道在講些什么，看不懂的你就記住一個事實，不掌握核心技術，處處受制于人，只有死路一條。
0 d+ M+ _+ h$ d0 B

---

作者: 2266998    時間: 2014-2-9 15:55
網絡時代嗎，沒有辦法的事情，斯諾登事件出來之前，許多人以為奧巴馬是傻瓜，因為他對許多事情都不吭聲，連敘利亞都不打，并且讓法國攻打利比亞，后來大家知道了，老奧知道全世界的東西，幾乎無一遺漏，

計算機時代了，就是工作與娛樂分開，工作的機器就工作，不聯網，上網的機器就不存重要東西，兩個機器之間用光盤倒文件，光盤比移動硬盤簡單，可讀性好，可以搜索文件里面的‘內嵌入’，

其實不止是硬盤，你下載文件，文件里面就可能嵌入‘后門’，人家可以追蹤你文件的下載地址，所以，沒有用的文件不輕易下載，

說一個題外話，即使不使用網絡，也未必就逃得了，比如‘老拉’，搜尋其3年，最終人家找上門來了，我問過人家，當年怎么找到‘蘭提斯’的？人家告訴我是用‘以色列的步態軟件’，鎖定他的，他自己覺得玩的還好，連司機都用自己兒子，但也沒有逃脫，

你計算機，放在靠窗的位置，基本就對全世界沒有秘密了，哈哈，你上網，人家只有記憶你鍵盤敲擊規律，你到全世界哪里，只要一敲鍵盤，即刻就發現你了，哈哈，

; g8 W% P$ ]  ^* g9 C0 @還是古時候好啊，俺讀有些書籍，發現一個特有趣的秘密，李白、杜甫，都是在外長期‘游歷’的家伙，有時出門5年，但其家里可以與其通信，也非常準確，杜甫他爹常給其寫信，告訴他啥時候要回去考試，從來沒有錯過的，你說人家是怎么玩的？哈哈，

---

作者: a5248714    時間: 2014-2-9 16:11
自己做硬盤啊  餓死那么多人 為什么不吃肉？？？

---

作者: 我很呆    時間: 2014-2-9 16:11
我電腦從不裝殺毒軟件。我是小老百姓。也沒什么大志氣做重要的人。無人關注。

---

作者: crazypeanut    時間: 2014-2-9 16:16
當然，我們自己的電腦沒有什么重要東西，資料偷就偷了。

我轉貼的目的是，以前一直說不掌握核心技術問題很大，只是一個泛泛而談，沒有什么具體認識。我給大家看一個完整的過程，告訴大家，不掌握核心技術，所造成的嚴重后果。

---

作者: crazypeanut    時間: 2014-2-9 16:22
編輯完成，全部改成本地圖片了，不會顯示不正常了

---

作者: zyz4190    時間: 2014-2-9 16:30
我的電腦除了毛片，其余啥都沒有！哈哈！

---

作者: 張聾子    時間: 2014-2-9 18:08
慶幸；在很多硬盤上擺了迷魂陣。

---

作者: popianoplayer    時間: 2014-2-9 18:35
硬件的信息泄漏很早就出現了。技術受制于人，沒辦法。
中國開發自己龍芯也是這個原因。要是國家重要部門的電腦全部都是INTEL或AMD，一旦出現戰爭。。。。。。。。

---

作者: sniper2006    時間: 2014-2-9 19:54

張聾子 發表于 2014-2-9 18:08
/ o9 f" _  g1 g, Z% G慶幸；在很多硬盤上擺了迷魂陣。

NCIS的美劇就有個小女孩編了個散圖塊（不知道是同一回事），被NCIS里專家一下就破解了，其實硬盤數據都需要物理毀壞才能徹底消失，物理損壞不嚴重用隧道電子掃描顯微鏡就能恢復數據@2266998  

---

作者: bbtfcjy    時間: 2014-2-9 22:34
Inter inside,windows .....你還能說啥？？？？？？？？？？

---

作者: 咪嗪    時間: 2014-2-10 00:41
學習啦！

---

作者: xlf63    時間: 2014-2-10 07:57
俺只知道，不管你聯不聯網，如果不做好屏蔽。只要你開機。有心的高手們就能在一定距離范圍內知道你電腦熒上是啥玩意兒。
是真？是假？

---

作者: karlmayerdesign    時間: 2014-2-10 08:33
完蛋了 我硬盤里那么多tokio hot豈不是為別人下載了？

---

作者: の小南灬    時間: 2014-2-10 08:58
提示: 作者被禁止或刪除 內容自動屏蔽

---

作者: ltk5614    時間: 2014-2-10 11:28
一年看兩個專業的書，堅持十年，998大俠自己肯定做到了，所以就是現在這個樣子，什么都知道，字里行間就露著自信。

---

作者: universal    時間: 2014-2-10 12:11
國內很缺乏寫低級語言的程序員，平常見的挨踢們，都不行啊

---

作者: crazypeanut    時間: 2014-2-10 22:28

universal 發表于 2014-2-10 12:11
國內很缺乏寫低級語言的程序員，平常見的挨踢們，都不行啊

我當初學的時候，起手就是C，匯編，算法，結果還被人恥笑，這東西學了毛用，要學C#，JAVA，以后做架構，賺大錢。結果呢，錢沒掙到，至今還是碼農
& Y2 E- T; O+ x! i: Q* ^

---

作者: 鷹2013    時間: 2014-2-12 09:13
什么都不安全了，只要聯網。

---

作者: sz-automate    時間: 2014-2-12 14:43
高手就是高手

---

作者: footleft    時間: 2014-2-13 12:48
mark  一下 回家慢慢看

---

作者: cnsn05    時間: 2014-2-13 14:30
前幾天新聞上還報道英國某報社銷毀有棱鏡門證據硬盤，都是物理銷毀的。美劇《疑犯追蹤》中那種監控一切的機器現實中很有可能是存在的。

---

作者: 林86523001    時間: 2014-2-13 20:03
哈哈，強人

---

作者: 孫建si    時間: 2014-2-14 15:32
@_@徹底郁悶了

---

作者: sogood    時間: 2014-2-15 15:29
不掌握核心技術，處處受制于人，只有死路一條。

---

作者: xtw77wh    時間: 2014-2-17 12:49
很恐怖，很高級，核心技術！！！

---

作者: 咖啡酥心糖00    時間: 2015-1-9 17:01
真長見識！，雖然看不懂，但我大概其覺得類似于遠程精確打擊！前面大部分篇幅摸清了硬盤的工作原理，接下來就是精確查找，并且修改數據了，給我打開了另一個世界的大門

---

作者: 金牌一路向前    時間: 2015-1-15 19:53

crazypeanut 發表于 2014-2-10 22:28
: s8 f* i, d' I. V* w( z# Q: M- K我當初學的時候，起手就是C，匯編，算法，結果還被人恥笑，這東西學了毛用，要學C#，JAVA，以后做架構，賺 ...

# u  k0 ]  k8 r8 \9 u' f大俠是什么專業出身的？怎么感覺你什么都搞
) z; z  U9 E4 D. `2 o& O

---

作者: 清茶淡酒    時間: 2015-1-17 10:09
唉

---

作者: lizhenbang    時間: 2015-2-12 21:03
太牛了，及時到家啊，佩服。

---

歡迎光臨 機械社區 (http://www.ytsybjq.com/)

Powered by Discuz! X3.5

感谢您访问我们的网站，您可能还对以下资源感兴趣：

亚洲影视一区二区三区

<rt id="yiiyo"><delect id="yiiyo"></delect></rt>

<abbr id="yiiyo"><source id="yiiyo"></source></abbr><code id="yiiyo"><acronym id="yiiyo"></acronym></code>

<li id="yiiyo"><input id="yiiyo"></input></li>

<li id="yiiyo"><input id="yiiyo"></input></li>

<li id="yiiyo"><dl id="yiiyo"></dl></li>

<code id="yiiyo"></code>

<bdo id="yiiyo"></bdo>

<center id="yiiyo"></center>

<li id="yiiyo"><source id="yiiyo"></source></li>