{"id":432,"date":"2006-11-23T00:04:10","date_gmt":"2006-11-22T23:04:10","guid":{"rendered":"http:\/\/www.zarrelli.org\/new_blog\/?p=432"},"modified":"2006-11-23T00:04:10","modified_gmt":"2006-11-22T23:04:10","slug":"hacking-la-fonera-step-by-step-guide","status":"publish","type":"post","link":"https:\/\/www.zarrelli.org\/blog\/hacking-la-fonera-step-by-step-guide\/","title":{"rendered":"Hacking la Fonera, step by step guide"},"content":{"rendered":"

Qualche giorno fa, sento da Andrea<\/a> che La Fonera \u00e8 suscettibile di una code injection sull’interfaccia locale<\/a>. Ohib\u00f2, troppo allettante per non provarci ma…ahem…la mia Fonera \u00e8 gi\u00e0 aperta e quella di Andrea anche.<\/p>\n

Per fortuna, c’\u00e8 Andrea<\/a> il quale \u00e8 un infelice possessore di Fonera muta e alla mia richiesta di provare l’hack non ci ha pensato poi molto e si \u00e8 messo all’opera.<\/p>\n

Ebbene si, ha aperto la Fonera. Ora, anche lui, pu\u00f2 fregiarsi del titolo di “FON Liberator”. Mmmm…dove ho gi\u00e0 sentito questo termine?<\/p>\n

Gentilmente, Andrea ha accondisceso a scrivere una veloce guida all’utilizzo di questo nuovo hack.<\/p>\n

<\/p>\n

\"step1Submit.png\"<\/p>\n

\u00c8 il primo form<\/a> da inviare alla fonera.<\/p>\n

Si tratta di un semplice form che<\/strong> utilizza il metodo post per inviare invia il campo “wifimode”<\/strong>all’indirizzo<\/p>\n

http:\/\/192.168.10.1\/cgi-bin\/webif\/adv_wifi.sh<\/strong><\/p>\n

192.168.10.1 \u00e8 l’IP della Fonera, il vostro potrebbe essere differente, nel qual caso il valore va aggiornato alle vostre esigenze.<\/p>\n

\/cgi-bin\/webif\/adv_wifi.sh <\/strong><\/p>\n

\u00c8 il cgi-bin che si occupa, tra le altre cose, di eseguire i comandi shell contenuti nel campo wifimode inviatogli (la fonera usa l’httpd di busybox e i cgi-bin sono script webif – un sistema di generazione dinamica di html tramite script shell e awk)<\/p>\n

Una volta inviato il form vi sar\u00e0 richiesta l’autenticazione http del webserver della fonera (esattamente come se vi collegaste da browser).<\/p>\n

Il valore predefinito della coppia login\/pass e’<\/p>\n

Login:<\/strong> admin
\nPassword:<\/strong> admin<\/p>\n

Potreste aver cambiato la password predefinita, nel qual caso utilizzate quella che avete definito.<\/p>\n

Come potete notare l’iniezione del codice richiama iptables dicendogli di aprire la porta 22 per le connessioni ssh.<\/p>\n

\"afterSubmit.png\"<\/p>\n

Quello che vedete nell’immagine e’ il testo che viene visualizzato nel browser dopo il submit e l’autenticazione: come potete osservare, si tratta del sorgente html dell’home page del webserver della fonera, preceduta da degli header. La prima riga \u00e8:<\/p>\n

“\/bin\/sh: \/tmp\/.webif\/config-fon: 2: Permission denied”<\/p>\n

Il permission denied non si riferisce al tentativo di accesso o iniezione del codice nella fonera, ma alla scrittura (o alla lettura, non sono sicuro, lo script fa entrambe le cose) del file \/tmp\/.webif\/config-fon<\/strong>.<\/p>\n

Non preoccupatevi di quella scritta, l’iniezione del codice \u00e8 andata a buon fine.<\/p>\n

\"step2Submit.png\"<\/p>\n

Si tratta del secondo form<\/a>. Il codice iniettato avvia dropbear, il server ssh della Fonera.<\/p>\n

Dopo l’invio del form si ripresenta lo stesso output visto per il primo.<\/p>\n

\"sshLogin.png\"<\/p>\n

A questo punto, collegatevi in ssh<\/strong>, come utente root<\/strong>. all’IP della fonera, la password
\n\u00e8 la stessa che avete usato per l’autenticazione, et voila’!<\/p>\n

Una volta loggatisi sulla Fonera occorre rinominare dropbear in<\/p>\n

S50dropbear.<\/strong><\/p>\n

root@OpenWrt:\/#mv \/etc\/init.d\/dropbear \/etc\/init.d\/S50dropbear<\/code><\/p>\n

In questo modo la Fonera eseguir\u00e0 il file al boot del sistema.<\/p>\n

Quindi, ora avete un server ssh avviato a ogni boot della Fonera.<\/p>\n

Il secondo passo da compiere consiste nell’abilitare in maniera definitiva le connessioni ssh verso la Fonera. Perottenere questo risultato, bisogna editare<\/strong> il file<\/p>\n

\/etc\/firewall.user<\/code><\/p>\n

Con cosa? ovviamente con vi<\/p>\n

Le righe in questione sono le seguenti, come risulta chiaro dal commento:<\/p>\n

### Open port to WAN<\/code>
\n## -- This allows port 22 to be answered by (dropbear on) the router<\/code>
\n# iptables -t nat -A prerouting_rule -i $WAN -p tcp --dport 22 -j ACCEPT<\/code>
\n# iptables -A input_rule -i $WAN -p tcp --dport 22 -j ACCEPT<\/code><\/p>\n

Decommentate le due righe che iniziano per iptables<\/strong>.<\/p>\n

A questo punto vi baster\u00e0 riavviare la Fonera, oppure eseguire i due script sui quali avete apportato le modifiche:<\/p>\n

root@OpenWrt:\/#\/etc\/init.d\/S50dropbear<\/code><\/p>\n

root@OpenWrt:\/#\/etc\/firewall.user<\/code><\/p>\n

Se poi volete esagerare, disabilitando la possibilit\u00e0 che del codice inviato da Fon venga eseguito dalla Fonera, modificate \/bin\/thinclient<\/strong><\/p>\n

root@OpenWrt:\/#vi \/bin\/thinclient<\/code><\/p>\n

commentate la riga<\/p>\n

. \/tmp\/.thinclient.sh<\/code><\/p>\n

in fondo al file.<\/p>\n

Potete infine aggiungere questa<\/p>\n

cp \/tmp\/.thinclient.sh \/tmp\/thinclient-$(date'+%Y%m%d-%H%M')<\/code><\/p>\n

che alla ricezione dei file da parte di Fon, li salver\u00e0 nella directory \/tmp<\/strong> nel formato thinclient-AAAA-MM-GG-HHMM<\/strong>.<\/p>\n

In questo modo potrete controllarli di tanto in tanto (e ricordatevi anche di cancellarli, per non correre il rischio che vi occupino tutto lo spazio).<\/p>\n","protected":false},"excerpt":{"rendered":"

Qualche giorno fa, sento da Andrea che La Fonera \u00e8 suscettibile di una code injection sull’interfaccia locale. Ohib\u00f2, troppo allettante per non provarci ma…ahem…la mia Fonera \u00e8 gi\u00e0 aperta e quella di Andrea anche. Per fortuna, c’\u00e8 Andrea il quale \u00e8 un infelice possessore di Fonera muta e alla mia richiesta di provare l’hack non …<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[23,25],"tags":[472,473,112,118,120,151],"class_list":["post-432","post","type-post","status-publish","format-standard","hentry","category-fon","category-fonera","tag-fon","tag-fonera","tag-hacking","tag-home","tag-shell","tag-web","without-featured-image"],"_links":{"self":[{"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/posts\/432","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/comments?post=432"}],"version-history":[{"count":0,"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/posts\/432\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/media?parent=432"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/categories?post=432"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.zarrelli.org\/blog\/wp-json\/wp\/v2\/tags?post=432"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}