Laiteohjelmistonäköistiedostojen analysointi

Yksittäinen laiteohjelmistokuva on harvoin vain yksi tiedosto. Se on usein monimutkainen arkisto, joka sisältää useita komponentteja. Siitä voi löytyä käynnistyslatain (käynnistyksen aikainen koodi), Linux-ydin ja yksi tai useampi juuritiedostojärjestelmä. Nämä tiedostojärjestelmät sisältävät yleensä laitteen sovellukset, määritystiedostot ja kirjastot.

Laiteohjelmistokuvan analysoinnin aloittamiseen tarvitaan työkaluja sen purkamiseen osiin. Binwalk on tähän tarkoitukseen suunniteltu keskeinen avoimen lähdekoodin työkalu. Se etsii binäärikuvasta upotettuja tiedostoja ja suoritettavaa koodia. Binwalk tunnistaa tunnetut tiedostotyypit ja tietorakenteet allekirjoitusanalyysin avulla.

Katsotaanpa Binwalkia käytännössä. Helpoin tapa käyttää sitä on antaa laiteohjelmistotiedosto sen käsiteltäväksi. Tämä komento skannaa koko tiedoston ja luettelee kaikki tunnistetut komponentit. Se on ensimmäinen vaihe sen ymmärtämisessä, mitä tiedoston sisään on piilotettu.

Kun binwalk on suoritettu, näette taulukon, jossa on kolme pääsaraketta:

• OFFSET: heksadesimaalinen osoite, josta komponentti löytyi.
• DECIMAL: siirtymän desimaalimuotoinen vastine.
• DESCRIPTION: tunnistetun tiedoston tai datan tyyppi (esimerkiksi LZMA-pakattu data tai Squashfs-tiedostojärjestelmä).

Tuloste kertoo tarkasti, mistä laiteohjelmiston eri osat alkavat ja mitä ne ovat.

Binwalk ei ainoastaan tunnista tiedostoja, vaan voi myös purkaa niitä. Kun käytätte lippua -e (tai --extract), Binwalk yrittää irrottaa ja purkaa tunnistetut komponentit. Se luo uuden hakemiston, jonka nimi on yleensä _firmware.bin.extracted ja joka sisältää kaiken puretun datan.

Purkamisen jälkeen näette laiteohjelmiston sisältöä vastaavan kansiorakenteen. Siellä voi olla esimerkiksi:

• squashfs-root/: pääasiallinen tiedostojärjestelmä, joka sisältää binäärit, komentosarjat ja määritykset.
• kernel: purettu Linux-ytimen kuva.
• Muita pakattuja tiedostoja tai arkistoja.

Tässä vaiheessa varsinainen syvällinen tarkastelu alkaa, sillä voitte nyt analysoida yksittäisiä tiedostoja.

Vaikka Binwalk on tehokas, joskus tarvitaan tarkempaa hallintaa tai se saattaa jättää jotain huomaamatta. dd-komennolla (data duplicator) voi purkaa tiedostosta tiettyjä tavuja. Binwalkin skannauksen OFFSET- ja SIZE-tietojen avulla voitte irrottaa komponentin manuaalisesti.

Tässä oppitunnissa tutustuimme laiteohjelmistokuvien maailmaan sekä niiden rakenteeseen ja merkitykseen. Opimme, kuinka Binwalk on korvaamaton työkalu komponenttien tunnistamiseen ja purkamiseen. Tutustuimme myös manuaaliseen purkamiseen dd-komennolla. Näiden tekniikoiden avulla voitte nyt aloittaa sulautettujen laitteiden laiteohjelmistojen perinpohjaisen tutkimisen!