Zabezpieczenie przed zapisem

pytanie zadane 16 czerwca 2017 w Bezpieczeństwo, hacking przez Eliro Stary wyjadacz (12,160 p.)

Mam coś takiego

http://sc01.alicdn.com/kf/HTB1ZX92JXXXXXbGXFXXq6xXFXXXC/Full-color-print-usb-business-card-pendrive.jpg

Pendrive jest chroniony przed zapisem - nie da się go sformatować diskpartem, nie działa usuwanie z rejestru żadnych danych, żadne programy typu Low level format, ani nawet Gparted. Jak zdjąć tą cholerną blokadę?

komentarz 16 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Niekoniecznie będzie to możliwe - kwestia tego jak konkretnie pendrive został zabezpieczony przed zapisem. Jeśli blokada jest na poziomie firmware/kontrolera pendrive, to problem zaczyna się sprowadzać do elektroniki i inżynierii wstecznej.

Ale na początek - mógłbyś napisać coś więcej o tym urządzeniu? Np. wejdź do Menedżera Urządzeń, zlokalizuj ten pendrive, wejdź we właściwości, zakładka "Szczegóły" (Details), i podaj nam stamtąd:

Hardware Ids (hmm, to będzie pewnie jakieś "Identyfikatory urządzenia")
Bus reported device description (pewnie jakieś "Opis urządzenia z magistrali")
Last known parent ("Ostatni znany rodzic")
Parent ("Rodzic", chyba, że jest taki sam jak poprzednie pole)

To nam powinno pozwolić na ustalenie kontrolera, który jest użyty, i może w jego dokumentacji coś ciekawego będzie.

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)
edycja 17 czerwca 2017 przez Eliro

Brak "last known parent".

1 odpowiedź

odpowiedź 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)
wybrane 17 października 2018 przez Eliro

Najlepsza

Wrzuciłem podane przez Ciebie szczegóły w wyszukiwarkę i wygląda na to, że kontrolerem jest Silicon Motion SM3257 ENAA (bazując na VID/PID ze zrzutów, czyli 090C oraz 1000, a także "SMI" które pojawia się w nazwie urządzenia). Dotarłem do specyfikacji tego kontrolera i wygląda na to, że ma on wbudowaną funkcję "write protect" (piny GPIO1 i FNWP wydają się być interesujące).

Niestety, bez rozebrania tego pendrive'a i zobaczenia co się z tymi pinami dzieje na płytce (czy są na stałe połączone z GND, czy może są połączone z jakimś innym pinem GPIO, który z poziomu firmware tym steruje) trudno będzie coś dalej zrobić. Natomiast to jest dość ekstremalne rozwiązanie, i raczej jeśli nie masz domowego laboratorium to możesz mieć problemy z wykonaniem odpowiednich modyfikacji.

Natknąłem się na pewną rosyjską stronę ze sporą dawką informacji o tym kontrolerze, jak i aplikacji do jego obsługi. Jeśli byś coś z niej sprawdzał to zalecał standardową dawkę ostrożności (najlepiej jednorazowa VMka z przekierowaniem portu USB w którym masz pendrive) - http://www.usbdev.ru/files/smi/

Niestety tylko tyle umiem podpowiedzieć bez dostępu do urządzenia :(

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

Zobacz na zdjęcie - w jaki sposób tego pendrive'a rozebrać? Przecież to praktycznie sama płytka. http://sc01.alicdn.com/kf/HTB1ZX92JXXXXXbGXFXXq6xXFXXXC/Full-color-print-usb-business-card-pendrive.jpg

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Stąd wspomniałem o domowym laboratorium. Trzeba by użyć dość destruktywnych technik - wiesz, pilników, papieru ściernego, piłki, obcinaczek, ew. odpowiedniego kwasu (raczej bym nie polecał takiej zabawy bez odpowiedniej wiedzy). Pewnie x-ray tego urządzenia też by nie zaszkodził (lub cokolwiek innego co by pozwoliło stwierdzić gdzie ciąć, a gdzie nie ciąć). Raczej po tych zabiegach potrzebowałbyś nową obudowę ;)

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

Pendrive po uruchomieniu ma tak jakby 2 dyski - jeden ma 104MB i mogę na nim zapisywać, drugi ma około 3,6GB i jest "read only". A Czym są te dwa złote punkciki na dole?

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Hmm, jakie systemy plików są na tych partycjach?

Ad te dwa punkty - nie mam pojęcia ^_-

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

Fat32

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Próbowałeś pisać bezpośredni do urządzenia (z pominięciem systemów plików) korzystając np. z dd pod linuxem?

Jaki system używasz btw? EDIT: Przepraszam, to pytanie powinno brzmieć "czy używasz również Linuxa?"

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

Mam na jednym dysku Windows 7, na drugim Ubuntu. Na obu systemach jest read-only. Mam napisać system plików? Nie rozumiem.

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Zanim przejdziemy dalej: na ile Ci zależy na danych, które są teraz na tym pendrive? Możemy spróbować kilka losowych rzeczy z Linuxa, ale z danych za dużo nie zostanie.

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

Nie zależy.

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

OK :)

Przerzuć się na Linuxa, włóż pendrive, ustal jak się nazywa pseudo-plik urządzenie pendrive (będzie jakieś /dev/sdc czy coś w tym duście - najlepiej od razu po podpięciu zrób "dmesg | tail -n 20" - po tym poleceniu pojawi się informacja o tym jak się nazywa pseudo-plik urządzenia związany z podpiętym pendrive'em).

Potem zrób (z roota):
fdisk -l /dev/URZĄDZENIE

I wklej wynik tego polecenia plz.

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

incybro@Incybro:~$ dmesg | tail -n 20
[  156.369595] usb 2-4: Manufacturer: Realtek
[  156.369596] usb 2-4: SerialNumber: 00e04c000001
[  156.370204] rtl8192cu: Chip version 0x11
[  156.446964] rtl8192cu: Board Type 0
[  156.447205] rtl_usb: rx_max_size 15360, rx_urb_num 8, in_ep 1
[  156.447251] rtl8192cu: Loading firmware rtlwifi/rtl8192cufw_TMSC.bin
[  156.447496] ieee80211 phy1: Selected rate control algorithm 'rtl_rc'
[  157.547241] rtl8192cu 2-4:1.0 wlx30b5c216ba91: renamed from wlan0
[  157.585474] IPv6: ADDRCONF(NETDEV_UP): wlx30b5c216ba91: link is not ready
[  157.587957] rtl8192cu: MAC auto ON okay!
[  157.623584] rtl8192cu: Tx queue select: 0x05
[  158.077092] IPv6: ADDRCONF(NETDEV_UP): wlx30b5c216ba91: link is not ready
[  158.143458] IPv6: ADDRCONF(NETDEV_UP): wlx30b5c216ba91: link is not ready
[  159.251022] wlx30b5c216ba91: authenticate with 14:cc:20:69:fc:1c
[  159.263645] wlx30b5c216ba91: send auth to 14:cc:20:69:fc:1c (try 1/3)
[  159.266242] wlx30b5c216ba91: authenticated
[  159.268099] wlx30b5c216ba91: associate with 14:cc:20:69:fc:1c (try 1/3)
[  159.277625] wlx30b5c216ba91: RX AssocResp from 14:cc:20:69:fc:1c (capab=0x431 status=0 aid=3)
[  159.456617] wlx30b5c216ba91: associated
[  159.456777] IPv6: ADDRCONF(NETDEV_CHANGE): wlx30b5c216ba91: link becomes ready

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Wykonałeś to polecenie od razu (no, tak z 5 sekund) po włączeniu pendrive? Nie ma tam informacji o podłączeniu pendrive, więc pewnie miałeś go albo już włożonego, albo moje "od razu" potraktowałeś bardzo bardzo dosłownie i system nie zdążył zareagować na włożenie pendrive :) Spróbuj jeszcze raz plz.

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

[  633.265241] rtl8192cu: MAC auto ON okay!
[  633.305867] rtl8192cu: Tx queue select: 0x05
[  633.720741] IPv6: ADDRCONF(NETDEV_UP): wlx30b5c216ba91: link is not ready
[  633.794967] IPv6: ADDRCONF(NETDEV_UP): wlx30b5c216ba91: link is not ready
[  634.879594] wlx30b5c216ba91: authenticate with 14:cc:20:69:fc:1c
[  634.893021] wlx30b5c216ba91: send auth to 14:cc:20:69:fc:1c (try 1/3)
[  634.996052] wlx30b5c216ba91: send auth to 14:cc:20:69:fc:1c (try 2/3)
[  635.039478] wlx30b5c216ba91: authenticated
[  635.040292] wlx30b5c216ba91: associate with 14:cc:20:69:fc:1c (try 1/3)
[  635.080139] wlx30b5c216ba91: RX AssocResp from 14:cc:20:69:fc:1c (capab=0x431 status=0 aid=3)
[  635.181963] wlx30b5c216ba91: associated
[  635.192831] IPv6: ADDRCONF(NETDEV_CHANGE): wlx30b5c216ba91: link becomes ready
[  687.267108] blk_update_request: I/O error, dev fd0, sector 0
[  687.267108] floppy: error -5 while reading block 0
[  699.540791] blk_update_request: I/O error, dev fd0, sector 0
[  699.540806] floppy: error -5 while reading block 0
[  720.004736] blk_update_request: I/O error, dev fd0, sector 0
[  720.004745] floppy: error -5 while reading block 0
[  732.285322] blk_update_request: I/O error, dev fd0, sector 0
[  732.285333] floppy: error -5 while reading block 0

Pendrive się załadował

lsusb pokazuje to urządzenie jako

Bus 002 Device 007: ID 090c:1000 Silicon Motion, Inc. - Taiwan (formerly Feiya Technology Corp.) Flash Drive

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Hmm, spróbuj fdisk -l /dev/fd0 plz.

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

sudo fdisk -l

"/dev/sdb1 * 5624 7639039 7633416 3,7G c W95 FAT32 (LBA)"

Wynik

sudo fdisk -l /dev/sdb1

Disk /dev/sdb1: 3,7 GiB, 3908308992 bytes, 7633416 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x6f20736b

Device      Boot      Start        End    Sectors   Size Id Type
/dev/sdb1p1       778135908 1919645538 1141509631 544,3G 72 unknown
/dev/sdb1p2       168689522 2104717761 1936028240 923,2G 65 Novell Netware 386
/dev/sdb1p3      1869881465 3805909656 1936028192 923,2G 79 unknown
/dev/sdb1p4      2885681152 2885736650      55499  27,1M  d unknown

Partition table entries are not in disk order.

Niezabezpieczona część pendrive'a nazywa się

"/dev/sdc1 * 128 225279 225152 110M b W95 FAT32"

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Hmm, wklej plz wynik polecenia mount

Jesteś może na ircu pasji informatyki? To by trochę przyspieszyło zabawę ;)

komentarz 17 czerwca 2017 przez Eliro Stary wyjadacz (12,160 p.)

Już wchodzę.

komentarz 17 czerwca 2017 przez Gynvael Coldwind Nałogowiec (27,530 p.)

Aktualizacja dla osób, które być może są zainteresowane tą kartą/pendrivem:

Na IRCu ustaliliśmy, że... zdecydowanie dziwne jest to urządzenie :) Poczyniliśmy pewne kroki przy pomocy skomplikowanego protokołu, żeby to urządzenie dostarczyć do mnie (co bym mógł je wspomnianymi wyżej pilnikami potraktować), więc rozwiązanie zagadki się przesunie o ładne kilka tygodni. Jeśli bym coś ustalił, to wrzucę tu aktualizację.