«Los valores hash? No necesitamos ningún hashes apestosos!»

Mi primer encuentro con el cambio en marzo. Se puso en contacto para ayudar a una agencia de aplicación de la ley con el agrietamiento de un pin de Samsung S2. Yo planeaba usar hashcat para romper el pin, y la agencia tenía esos archivos en la lista. Pero, para mi sorpresa, el archivo password.key tenía sólo 40 bytes de longitud. Yo no voy a aburrir con los pasos que tomé para intentar romperlo, pero basta con decir que no romperlo.

Más tarde se supo que Samsung había cambiado el esquema de hash pin / contraseña en sus lanzamientos JellyBean Android. El nuevo esquema prevé la pin / contraseña que se concatenan como antes, pero el hash SHA1 se repite 1024 veces así:

Asumamos un alfiler de 1234 . Teniendo en cuenta que en computerese, contando comienza en cero y no hay lastHash en la primera iteración, el proceso sería algo como esto:

Volver a marzo … mencioné que No romper el pin que se envió a mí, ut, que me hizo pensar: ¿hay otra manera de hacer frente a los dispositivos Android bloqueados. Sabía por experiencia y estudio que el patrón de bloqueo de Android se almacena como un hash SHA1 de los datos / system / gesture.key de archivos binarios y el pin / password se almacena en los datos / sistema / gesture.key del archivo de texto. Así que, me fui a trabajar en emuladores de Android para Android 2.3, 4.0 y 4.1

Y lo que descubrí fue esta:. Simplemente el cambio de nombre (prefirió borrar por lo que los datos todavía pueden ser examinadas) gesture.key o password.key del archivo (por ejemplo, «gesture.key.bak») desactivado las cerraduras! Un reinicio elimina los valores hash de la memoria y no se vuelve a cargar el sistema operativo, ya que ya no existen. En el emulador, todavía estaba presentado con las pantallas de bloqueo, pero mediante la introducción de cualquier patrón, o al tocar Aceptar / Hecho en la pantalla de pin / contraseña, tuve acceso al dispositivo. En los dispositivos del mundo real, las pantallas de bloqueo fueron anuladas por completo.

La agencia de policía me estaba ayudando tenía acceso root en el dispositivo en cuestión, o lo harían no han sido capaces de enviarme los archivos password.key y settings.db. En contacto con ellos y les aconsejé que cambiar el nombre del password.key y como se esperaba, se evitaron los lock pin.

Ahí está el problema, sin embargo:? conseguir acceso root . En Android 2.3, esto se podría hacer, en su mayor parte, con exploits de escalada de privilegios como rageagainstthecage, GingerBreak y ZergRush, por nombrar algunos de los más populares. Las hazañas, en términos generales, se estrellaron los servicios en los dispositivos y les impidieron descalating privilegios en el reinicio. Para las hazañas al trabajo, la depuración USB se necesita para estar habilitado para que el software podría ser empujado a través de la http://developer.android.com/tools/help/adb.html [Android depuración Bridge] (adb) desde el escritorio hasta el dispositivo. Mientras que recibo algunos dispositivos con USB depuración habilitada, la gran mayoría no están en esa condición. Y, los días de Android 2.3 están disminuyendo; ahora veo Android 4.0 + dispositivos más que se han fortalecido en contra de tales ataques

¿Qué, pues se puede hacer. acerca de un dispositivo Android cerrada donde la depuración USB está desactivado, o en una versión de Android que no es vulnerable a un privilegio explotar ataque? ¿Cómo nos comunicamos con un dispositivo que se niega simplemente a hablar con nosotros?

El sistema operativo Android se basa en varias particiones para separar y proteger los datos. Es probable que haya excepciones a la regla, pero se puede esperar encontrar una partición de arranque, una partición del sistema (el sistema operativo que es la experiencia del usuario), una partición de datos (aplicaciones de usuario y datos), una partición de caché, y una partición de recuperación . Hay, de hecho, muchos más particiones en la mayoría de los dispositivos. Pero nos vamos a centrar en la partición de recuperación en esta discusión.

Recovery es un sistema operativo propio. Es pequeño y limitado y la mayoría de los fabricantes a limitar su funcionalidad. En recuperaciones de valores, las funciones se limitan a las actualizaciones del sistema de instalación, conocida como ROM y el limpieza de los datos y las particiones de caché (por ejemplo, para eliminar los datos del usuario antes de vender o devolver el dispositivo).

menos conocido es que muchas recuperaciones de valores tienen la depuración USB activada, es decir, un sistema de escritorio puede comunicar con el dispositivo a través del adb. Los privilegios a través de la recuperación de la población son limitados, pero algunos datos pueden extraerse del sistema. Echemos un vistazo a un Galaxy S3 Samsung que está bloqueado-pin sin depuración USB habilitado …

arrancado en la ROM del sistema (el sistema operativo estándar), se espera que para que no pueda conectar con el dispositivo a través de adb.

Efectivamente, el dispositivo no se detecta porque el demonio adb en el dispositivo no se está ejecutando. Después de apagar el dispositivo, arrancamos en la recuperación manteniendo pulsado el hogar + hasta + el volumen de energía.

Después de que aparezca el gráfico Android, se visualiza el menú de recuperación del stock. El menú tiene la funcionalidad limitada descrita anteriormente, pero no estamos aquí para mirar el menú, pero para determinar si el demonio adb se está ejecutando.

Nice! Ahora tenemos comunicación con el dispositivo. Si dejamos caer a un shell con el adb shell class=»monospaced»> de comandos o registramos nuestros privilegios con Identificación adb shell , veríamos que hemos privilegios limitados como el usuario del shell. Pero hay una cosa que podemos hacer, lo que puede ser muy útil en la búsqueda de maneras de derrotar a la seguridad, es determinar qué versión de Android está instalado.

Ahora sabemos los detalles importantes del dispositivo: marca, modelo y versión de Android. Investigando el dispositivo, encontramos que hay sistemas operativos de recuperación personalizada tanto ClockWorkMod (CWM) y el Proyecto de Recuperación de victorias del equipo (TWRP). Ambas recuperaciones están arraigados, lo que significa que arranque con privilegios administrativos en su lugar. Y en nuestro caso, esa es la única característica en la que estamos interesados.

dispositivos de Samsung tienen un modo de descarga, también conocido como modo de «Odin», por cargar los datos en particiones. La herramienta de descargas propietaria pero filtrado «Odin» se utiliza para realizar esta tarea. No es una herramienta de código abierto, Heimdall, que es el equivalente funcional de Odin. Odin es sólo para Windows de software, pero Heimdall es multiplataforma. Nuestro objetivo es utilizar Odin o Heimdall para instalar una de las recuperaciones personalizados. No queremos erradicar completamente el dispositivo como un usuario final podría, como que hace que los cambios en el sistema de y los datos particiones.

Odín y Heimdall se nombran para Norse Gods. El software tiene el poder para impulsar el software a un dispositivo de Samsung Android, mientras el dispositivo está en modo de descarga. Llegan a ser paralizado cuando el gestor de arranque está bloqueado, sin embargo. Por suerte, un gestor de arranque desbloqueado se puede instalar primero para permitir la instalación de la recuperación personalizado. No, en absoluto.