Hộp bí mật: Khéo léo sửa đổi hệ thống liên lạc nội bộ căn...

Box of Secrets: Discreetly modding an apartment intercom to work with Apple Home

Frank, bạn tôi (không phải tên thật) tiếp đón rất nhiều khách tại căn hộ của anh ấy và hệ thống liên lạc nội bộ của khu phức hợp của anh ấy là thứ dẫn họ vào trong. Có thể bạn đã từng nhìn thấy chúng trước đây, chúng trông như thế này:

Hộp liên lạc nội bộ Doorking 1834-080. — Hệ thống liên lạc nội bộ Doorking 1834-080 tại căn hộ của Frank.

Cho đến gần đây, khách có thể tìm thấy số của Frank trong hệ thống và gọi cho số đó. If Frank recognized the people on the line, he would press a number on his dial pad, which the controller would interpret as a signal to unlock the gate.

Sau đó, ban quản lý trở nên lười biếng. Khu phức hợp Frank sống đã không thể gia hạn dịch vụ di động của hệ thống liên lạc nội bộ của họ, vì vậy họ không thể thực hiện cuộc gọi đến hệ thống thoại nữa. Even after months of asking his landlord to fix it, nothing was done.

Help Arrives

Tôi và người bạn khác của tôi Hazel đã đến thăm Frank trong thời gian ngừng hoạt động này và anh ấy đã yêu cầu chúng tôi xem chúng tôi có thể làm gì. Here’s what we saw:

The inside of the gate at Frank's place. — A diagram of what we saw.

We inspected the top box closer, giving a promising result: it was unlocked! The general layout of the box is as follows:

A DoorKing 1800-010. — A diagram of the voice box with wires shown.

It was impossible to ignore the massive Wi-Fi/cell router in the top corner with its admin password printed right on it (not pictured). Tất nhiên là tôi phải điều tra.

Thử 1: Bộ định tuyến Wi-Fi

Tôi nhanh chóng tìm thấy mạng và nhập thông tin đăng nhập được hiển thị. Of course, they weren’t changed from the defaults. I had full admin access to the router, which was awesome, until I realized that I couldn’t do very much with its basic, locked-down interface. Điều này gần như đã kết thúc quá trình khám phá của tôi, nhưng sau đó tôi nhận ra: còn SSH thì sao?

AT&T, the company that makes the routers for Doorking, is smarter than a bag of rocks in that SSH is protected on their router. Sadly for them, they lose to the bag of rocks in providing a way to download their entire system configuration from the web interface, containing a way to reset the root password to whatever you want:

# Tệp này là cấu hình được xuất từ thiết bị dựa trên nền tảng NetComm Bovine.
# Các trường riêng tư được mã hóa nhưng mọi mục nhập cấu hình đều có thể được thay thế theo cách thủ công bằng
 # biến văn bản thuần túy hoặc văn bản được mã hóa URI.
admin.firewall.enable;1
admin.local.enable_http;1
admin.local.enable_https;1
admin.local.ssh_enable;1
admin.local.telnetenable;1
admin.open.port;
admin.password;
 admin.user.admin;$aM9VdmCoc5vuekVU70/Gl8iJTOujxMQo
admin.user.root;$DDDgp0GJy6nB29UX7pDlrUUKDkWYqp84

Ồ. Bây giờ tôi đã hiểu tại sao lỗ hổng bộ định tuyến lại phổ biến đến vậy.

Đây chắc chắn là một hướng đi đầy hứa hẹn, nhưng chúng tôi đã nhận ra một điều: ngay cả khi chúng tôi đạt được khả năng thực thi mã trên bộ định tuyến, chúng tôi sẽ phải tìm ra giao thức nối tiếp tùy chỉnh của nó để thậm chí có cơ hội giao tiếp với hộp điều khiển chính. Đây không phải là điều mà tôi và Hazel muốn dành toàn bộ kỳ nghỉ để làm nên chúng tôi quyết định tìm nơi khác.

Lần thử 2: Giả điện thoại

Nhìn vào các thiết bị đầu cuối khác trong hộp, chúng tôi thấy các đầu nối điện thoại PH LINE cho mỗi hệ thống. Điều này đầy hứa hẹn vì hệ thống liên lạc nội bộ hiện tại của Frank sử dụng tín hiệu DTMF để mở cổng trở lại khi nó hoạt động.

Tuy nhiên, khó có khả năng hộp điều khiển chính sẽ mù quáng chấp nhận bất kỳ lệnh điện thoại nào trong khi không chủ động lắng nghe sau khi người dùng yêu cầu. Giả thuyết này có thể được kiểm tra nhưng chúng tôi lại phải đối mặt với thực tế là khả năng sửa lỗi cực kỳ hạn chế, bên cạnh kiến thức tối thiểu về hệ thống tín hiệu điện thoại.

Sự quyến rũ của lần thứ ba: Người đàn ông ở giữa

Hazel và tôi biết chắc chắn phải có một số lỗ hổng trong hệ thống cho phép chúng tôi đưa lệnh của riêng mình vào hệ thống điều khiển cổng. Chúng tôi đã đúng, nhưng trước tiên chúng tôi cần thay đổi quan điểm. Giả định ban đầu của chúng tôi là chúng tôi cần nắm quyền kiểm soát hệ thống từ trên xuống để khiến nó thực hiện những gì chúng tôi muốn. Sau những thất bại trước đó, chúng tôi đã thay đổi mục tiêu của mình để nắm quyền kiểm soát hệ thống từ dưới lên: phá hoại cốt lõi của nó.

Chúng tôi đã mở rộng tìm kiếm từ hộp thoại đến hộp nối chính giúp định tuyến dây giữa hộp thoại và bộ điều khiển chính (không thể tiếp cận). Sau khi tháo hai con vít đầu dẹt, chúng tôi nhận được một điều bất ngờ thú vị: một sợi cáp bổ sung mà chúng tôi không ngờ tới. Việc truy tìm sợi cáp dẫn tới phát hiện: hộp điều khiển chính điều khiển cuộn dây điện từ, thiết bị cơ khí chịu trách nhiệm mở khóa cổng, thông qua hộp nối!

Việc có được dây điều khiển điện từ đã thay đổi đáng kể cách tiếp cận của chúng tôi. Solenoid chỉ là nam châm điện có hai trạng thái: không có nguồn (đã khóa) và có nguồn (không khóa); không có biện pháp an ninh, không có giao thức để rình mò. Với điểm truy cập dễ dàng này, chúng ta chỉ cần sử dụng nguồn điện của chính mình vào bộ điện từ để mở khóa cổng. Ngoài ra, nguồn phụ 12 volt DC từ thiết bị đầu cuối trong hộp thoại sẽ là nguồn hoàn hảo để cấp nguồn cho bộ vi điều khiển.

Đây là kế hoạch chúng tôi đã đưa ra:

Tách dây chạy đến vỏ khóa và kích hoạt bộ điện từ. Kết nối đầu chia đôi với bảng chuyển tiếp ESP32 hỗ trợ Wi-Fi.
Viết chương trình cơ sở trong Rust để biến ESP32 thành ứng dụng khách Matter mà chúng tôi có thể kết nối với Apple Home của Frank.
Giấu bảng bên trong hộp nối nhỏ, được đặt thuận tiện cạnh tòa nhà để đảm bảo kín đáo tối đa.
Cấp nguồn cho bo mạch bằng cách cắm cáp nguồn vào hộp thoại Doorking và chạy cáp vào chỗ nối.

Bên trong cổng nhà Frank, giờ đã có thêm ESP32.

Hộp bí mật: Khéo léo sửa đổi hệ thống liên lạc nội bộ căn hộ để hoạt động với Apple Home

Help Arrives

Thử 1: Bộ định tuyến Wi-Fi

Lần thử 2: Giả điện thoại

Sự quyến rũ của lần thứ ba: Người đàn ông ở giữa

Phần mềm

Đập ngăn xếp

Triển khai

Chú thích cuối trang