【DEFCON】看我如何黑掉投票机-安全客

预估稿费：180RMB

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

0x00 前言

DEFCON 25是我第一次参加DEFCON安全会议，并且它非常精彩。有个First-time Village称为“Voting Village”。你可以在其中享受侵入各种投票注册机的乐趣。我的朋友Sean和我在会议通告中看到了这个Village。我们决定花30分钟在演讲前观察下每个人的进展。我们没想到，这最终变成了针对投票机的长达8小时的hacking活动。

0x01 目标机器

我们决定选择ExpressPoll 5000投票注册机，因为还没人取得进展。

它使用古老的PCMCIA/CF插槽来传输数据，并保存了各种各样的数据库文件。幸运的是，village提供了大量的PCMCIA卡和PCMCIA的USB转换器，因此我们能使用它作为我们的存储设备。

0x02 常规发现

下面是我们在exploit这个设备时发现的有用的东西的列表：

它运行于Windows CE5.0

ExpressPoll软件是一个包含程序集名ExPoll的.NET应用

ExpressPoll软件使用WinForms作为UI

Bootloader是特有的

处理器的架构是ARM

数据库文件存储在内存卡上（稍后有更多细节）

0x03 Exploit

我们测试了几种exploit方式，如常规方式：缓冲区溢出，Windows关键方式，网络exploit等。下面我们来针对这些方式逐一讲解。

0x04 任意固件注入

当内存卡插入到机器中，bootloader首先检查文件NK.BIN。如果能找到这个文件，它将试图将它加载到RAM中，并且不使用签名验证来引导它。然后固件被刷进去了，直到下次启动都有效。

NK.BIN文件是通常与ExpressPoll软件捆绑一起作为Windows CE 5.0的更新，但是攻击者能上传并运行任意自定义的NT kernel和Linux image（目前还没测试）。

我们在ExpressPoll 5000上面测试了这个，非常确定，它无错加载了我们的Windows CE：

0x05 任意Bootloader注入

和固件注入exploit非常类似，bootloader也会在启动时检查更新，文件名为EBOOT.BIN。它也是没有签名验证就加载了，但是我们得不到能成功运行于机器上的bootloader。然而，bootloader注入是确认有效的，因为我们放入EBOOT.BIN文件的bootloader确实刷入了，并且在没有内存卡的情况下重启了。这意味着我们摸索到了一些东西。

0x06 .NET .resources文件覆盖

当ExpressPoll软件由“启动ExpressPoll”按钮启动时，它读取内存卡中的文件ExPoll.resources。这是定义应用使用的资源的文件，如字符串、图片、按钮、布局等。它可以用于覆盖和自定义注册过程（例如，增加自己的专属logo）。

这个系统的弱点是按钮（也可以是其他的UI元素）可以被覆盖为不同的操作，如运行存储在内存卡(mount到了类似/Storage Card的目录)中的可执行文件或者运行命令。

如果找到了ExPoll.resources文件，首先将它加载到内存中，将其用于本次会话，并将它拷贝到设备的内存中，因此它再次被使用了。

这个漏洞可以通过创建一个随机的.NET .resources文件（名为ExPoll.resources）并拷贝到内存卡中来确认。我们将内存卡从机器中弹出，按“启动ExpressPoll”按钮，它出错了。哇！！！它加载了那个文件。不过，由于它也被拷贝到内存中，如果文件是损坏的它将会出错（你不能看到“启动ExpressPoll”按钮）。还有，在我们的设备中这种状态下没有出现任何图像。

0x07 漏洞

和上面的exploit一起，我们找到了很多安全漏洞可以导致多种类型的攻击。

0x08 硬编码用户名和密码

当你启动ExpressPoll软件时，你需要输入一个数字和用户名/密码。

有一组用户名/密码硬编码到软件中总是能有效：

用户名：1

密码：1111

0x09 未加密的SQLite3 数据库

当启动ExpressPoll软件时，它在内存卡中查找文件PollData.db3。这是一个标准的未加密的SQLite3数据库文件，包括了所有的信息。投票，会议，选手，所有的一切。使用这个信息，攻击者能够采用多种类型的攻击：

数据exfiltration

例如，攻击者能使用包含空的数据库的内存卡，当注册投票时默默的换卡，获取整个投票者的数据库（包括名字，地址，SSN后4位，签名和其他）。

伪造投票者信息

例如，攻击者能使用假的投票者的信息迷惑伪造数据库（如改变签名等），并在注册时将它植入机器中。

其他攻击

当你能访问整个数据库时，想象力是无限的。

0x0A 打开USB端口

这个威胁不大，但是还是存在威胁。攻击者能够插拔任意的USB设备（如USB Rubber Ducky 或 LAN Turtle）来发起攻击。我已经测试了下，用我的Bash Bunny来通过垃圾邮件将一个字符“a”无限循环发送到其中一个文本框中，试图触发缓冲区溢出并使.NET应用程序崩溃（但是它不起作用）。