[论文解读] On Manually Reverse Engineering Communication Protocols of Linux Based IoT Systems

Kaizheng Liu, Ming Yang+5 more|arXiv (Cornell University)|Jul 23, 2020

Advanced Malware Detection Techniques参考文献 51被引用 8

一句话总结

本文提出了首个针对基于Linux的物联网系统中通信协议的系统性手动逆向工程框架，结合固件提取、网络流量分析以及静态/动态分析，以揭示协议结构。该框架应用于WeMo智能插座后，发现了关键的身份认证缺陷，可导致远程控制和拒绝服务攻击，证明其在仅读和可写嵌入式Linux系统中的有效性。

ABSTRACT

IoT security and privacy has raised grave concerns. Efforts have been made to design tools to identify and understand vulnerabilities of IoT systems. Most of the existing protocol security analysis techniques rely on a well understanding of the underlying communication protocols. In this paper, we systematically present the first manual reverse engineering framework for discovering communication protocols of embedded Linux based IoT systems. We have successfully applied our framework to reverse engineer a number of IoT systems. As an example, we present a detailed use of the framework reverse-engineering the WeMo smart plug communication protocol by extracting the firmware from the flash, performing static and dynamic analysis of the firmware and analyzing network traffic. The discovered protocol exposes severe design flaws that allow attackers to control or deny the service of victim plugs. Our manual reverse engineering framework is generic and can be applied to both read-only and writable Embedded Linux filesystems.

研究动机与目标

• 解决在嵌入式Linux物联网系统中逆向工程通信协议缺乏系统性方法的问题。
• 通过首先逆向工程底层通信协议，实现自动化安全分析。
• 开发一种通用的手动框架，适用于物联网设备中仅读和可写Linux文件系统的场景。
• 通过WeMo智能插座的详细案例研究，识别并展示真实世界协议漏洞。
• 为物联网生态系统中的进一步协议级安全分析和漏洞发现提供基础。

提出的方法

• 通过从闪存内存或其他来源提取，获取设备的应用程序和固件。
• 使用测试平台设置，捕获物联网设备、智能手机应用与云服务器之间的网络流量。
• 通过中间人（MITM）代理、二进制文件的静态分析以及动态调试，突破流量保护机制，绕过加密和混淆。
• 通过将网络流量与固件及应用程序代码的静态和动态分析进行关联，执行协议逆向工程。
• 使用符号执行和系统调用跟踪（例如ptrace）分析行为并提取协议语义。
• 通过协议重构和漏洞评估验证结果，包括身份认证和会话管理缺陷。

实验结果

研究问题

• RQ1 在缺乏协议文档的情况下，如何系统性地逆向工程嵌入式Linux物联网系统中的通信协议？
• RQ2 哪些技术能够有效突破物联网网络流量中的加密和混淆，以实现协议分析？
• RQ3 手动逆向工程在多大程度上能够揭示物联网协议实现中的关键设计缺陷？
• RQ4 所提出的框架能否在具有不同文件系统类型（仅读与可写）的多样化物联网设备中通用化？
• RQ5 在逆向工程后，可在真实世界物联网协议中发现哪些具体漏洞？

主要发现

• 该框架成功逆向工程了WeMo智能插座的通信协议，揭示了一个关键的身份认证漏洞。
• 远程攻击者可利用该漏洞，通过恶意智能手机应用控制受害者的智能插座，实现对设备的未经授权操作。
• 攻击者可部署一个假冒的智能插座，伪装成合法设备，导致真实插座被踢出网络，从而引发拒绝服务攻击。
• 该框架具有通用性，适用于514种流行的物联网设备，证明其在仅读和可写Linux文件系统上的广泛兼容性。
• 本研究证实，手动逆向工程对于发现自动化工具可能遗漏的协议级漏洞依然至关重要。
• 案例研究表明，即使广泛部署的消费级物联网设备，其通信协议中也可能存在严重且可利用的设计缺陷。