[LuKePicci]

Mi pare che la stringa la mostri in dmesg, non sull'output del comando

Altrimenti mi basta che mi passi un altro dei file .ko che trovi lì in /lib/modules/ la prendo da lì.

[lorenzocanalelc]

http://www.mediafire.com/file/tsfimgfuw8dk7a6/ext4.ko/file

Comunque trovata r2secr: version magic '4.1.38 SMP preempt mod_unload ARMv7 ' should be '4.1.52 SMP preempt mod_unload ARMv7 '

[LuKePicci]

http://www.mediafire.com/file/tnt71ifeess5q5m/r2secr.arm.4.1.52.ko/file

[Tommy03]

Ciao, possiedo anch'io un DGA4331 e così a tempo perso ho provato a fare un po di fingerprinting. A parte qualche porta strana aperta ho trovato anche una cartella chiamata api (192.168.1.1/api) che ritorna un json. Poi ho visto che qui già avete avuto i permessi di root per cui sono interessato, come si fa? 

[LuKePicci]

Direi che è spiegato tutto nelle prime due pagine ma è per ora quello è un procedimento un po'  laborioso. Conviene aspettare che @lorenzocanalelc ci passi le chiavi per sbirciare nel firmware, così puoi ad esempio controllare cosa sia quella /api e se ci si può fare qualcosa di interessante.

[lorenzocanalelc]

Niente, direi che non ci siamo con questo file, dopo l'insmod il router è crashato

[LuKePicci]

Avevi fatto l'unload di quegli altri moduli prima come dice sulle istruzioni di secr su GitHub?

[Tommy03]

Direi che è spiegato tutto nelle prime due pagine ma è per ora quello è un procedimento un po'  laborioso. Conviene aspettare che @lorenzocanalelc ci passi le chiavi per sbirciare nel firmware, così puoi ad esempio controllare cosa sia quella /api e se ci si può fare qualcosa di interessante.

Diciamo che sono alle prime armi con questo router (di fatti fino a due giorni fa avevo un fastgate sbloccato con il symlink a / via samba). Ho provato il tch-exploit su github che avete postato però, una volta startato, prende un indirizzo ma continua a mandare richieste senza fare niente. Inoltre ho provato il flag per passare un acs custom ma quello che hai mandato tu (pippo.com/acs) risulta essere inesistente (in effetti se ci vai, da un bel 404).

[lorenzocanalelc]

Avevi fatto l'unload di quegli altri moduli prima come dice sulle istruzioni di secr su GitHub?

Me la sono persa la parte dell’unload, ma ho riprovato e ho avuto comunque un crash

[LuKePicci]

Allora dobbiamo indagare un po'. Mandami il dump di /dev/mtd0, un dmesg appena acceso, e fammi sapere cosa ti esce con questi comandi:

Codice: [Seleziona]

cat /proc/kallsyms | grep r2secr
cat /proc/cmdline

[lorenzocanalelc]

dmesg
https://pastebin.com/raw/rFXYRk9G

comandi

Codice: [Seleziona]

root@modemtim:~# cat /proc/kallsyms | grep r2secr
c054d458 R __ksymtab_r2secr
c0553a3a r __kstrtab_r2secr
root@modemtim:~# cat /proc/cmdline
console=ttyS0,115200 debug irqaffinity=0 coherent_pool=1M cpuidle_sysfs_switch pci=pcie_bus_safe cma=0M tbbt_addr=0xfaa0000 btab=0xa180c btab_bootid=2 bl_version=20.12.1315-0000000-20200318111542-e3f3a0cad7a0f9f4a618fa28394de3504f137593 board=VCNT-3 platform.prozone_addr=0x1ffe0000 bl_oid=5e7200154f5d980688c6b88b .r2secr=0x1ffdf000 x?<Dump in arrivo

[LuKePicci]

Codice: [Seleziona]

echo -n "ECK: " && dd if=/dev/mem bs=1 skip=$((0x1ffdf020)) count=16 2>/dev/null | hexdump -ve '/1 "%02X"' && echo
Se questa sopra non va, per debug:

Codice: [Seleziona]

dd if=/dev/mem bs=1 skip=$((0x1ffdf000)) count=32 | hexdump

[lorenzocanalelc]

Codice: [Seleziona]

root@modemtim:/tmp# echo -n "ECK: " && dd if=/dev/mem bs=1 skip=$((0x1ffdf020))
count=16 2>/dev/null | hexdump -ve '/1 "%02X"' && echo
ECK:
root@modemtim:/tmp# dd if=/dev/mem bs=1 skip=$((0x1ffdf000)) count=32 | hexdump
dd: can't open '/dev/mem': No such file or directory
root@modemtim:/tmp#


[LuKePicci]

Ahia...

[lorenzocanalelc]

Ecco il Dump http://www.mediafire.com/file/3czhnxic3mj6qvy/mtd0.dump/file
Comunque per il problema dell'inizio ho effettuato il reset così

Codice: [Seleziona]

rm -rf /overlay/`cat /proc/banktable/booted`E dopo preservando il root seguendo la guida di Safe Firmware Upgrade (Ovviamente senza upgrade del firmare).
Dopo aver fatto questa procedura il WanSensing durante l'avvio successivo non funzionava, riportando "boot not done waiting" o qualcosa del genere.
Ho trovato il punto preciso del wansensing

Codice: [Seleziona]

  local boot_done = x_state:get("system", "boot", "done")
  if boot_done == nil then
    logger:notice("The L2 Checking : boot not done,return")
    return "L2Sense"