Модификация прошивки роутера D-Link

Всех с наступившим Рождеством! В этой заметке я расскажу о том как модифицировать прошивку роутера D-Link DWR-M921, вдруг кому эта информация пригодится.

Привели меня к этому попытки установить на роутер блокировщик рекламы AdGuardHome. Чипсет RTL8197F на котором работает сабж на данный момент не имеет полной поддержки OpenWRT, исходных кодов прошивки от D-Link'а нет, а попытки что-то собрать из древних RealTek'овских SDK для семейства rtl819x которые я нашел на SourceForge не увенчались успехом.

К счастью, на плате нашелся UART. Бутлог под спойлером:

В веб-интерфейсе я нашел опцию включения telnet'а, но пароль от root-пользователя нигде не обнаружил. Написал в тех-поддержку и мне его прислали.

> telnet 192.168.0.1
Trying 192.168.0.1...
Connected to 192.168.0.1.
Escape character is '^]'.

DWR-M921 login: root
Password: 
RLX Linux version 2.0
         _           _  _
        | |         | ||_|                 
   _  _ | | _  _    | | _ ____  _   _  _  _ 
  | |/ || |\ \/ /   | || |  _ \| | | |\ \/ /
  | |_/ | |/    \   | || | | | | |_| |/    \
  |_|   |_|\_/\_/   |_||_|_| |_|\____|\_/\_/

For further information check:
http://processor.realtek.com/
#

Но, увы, доступа к терминалу оказалось недостаточно. Всё дело в том что в роутере используется сжатая файловая система только для чтения SquashFS, которая при запуске распаковывается в оперативную память, а значит все изменения внесённые во время работы роутера пропадают после перезагрузки.

# mount
rootfs on / type rootfs (rw)
/dev/root on / type squashfs (ro,relatime)
devtmpfs on /dev type devtmpfs (rw,relatime,mode=0755)
proc on /proc type proc (rw,relatime)
ramfs on /var type ramfs (rw,relatime)
sysfs on /sys type sysfs (rw,relatime)
debugfs on /sys/kernel/debug type debugfs (rw,relatime)
# 

Стало понятно что для того чтобы что-то сделать придётся редактировать прошивку.

Ну что ж, приступим.

Скачиваем последнюю версию с официального сайта и сканируем binwalk'ом:

> cp /home/gleb/Downloads/DWR_M921_fw20211118140944_S10865_V1.1.52\(1119134055\)\ \(1\).bin ./firmware.bin

> binwalk firmware.bin 

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
10264         0x2818          LZMA compressed data, properties: 0x5D, dictionary size: 8388608 bytes, uncompressed size: 7374556 bytes
2394146       0x248822        Squashfs filesystem, little endian, version 4.0, compression:xz, size: 5012602 bytes, 961 inodes, blocksize: 131072 bytes, created: 2038-04-24 04:11:44

Binwalk распознал два файла, а именно linux-ядро сжатое алгоритмом lzma и файловую систему squashfs (созданную, кстати, в 2038 году). Нас интересует файловая система. Извлекаем ее из файла прошивки утилитой dd и распаковываем полученный файл командой unsquashfs:

> dd bs=1 skip=2394146 if=firmware.bin of=squashfs.sfs
5013506+0 записей получено
5013506+0 записей отправлено
5013506 байт (5,0 MB, 4,8 MiB) скопирован, 21,4423 s, 234 kB/s

> sudo unsquashfs squashfs.sfs 
Parallel unsquashfs: Using 4 processors
920 inodes (984 blocks) to write

[======================================================================================================================================================================|] 984/984 100%

created 453 files
created 41 directories
created 118 symlinks
created 349 devices
created 0 fifos
created 0 sockets

> ls
firmware.bin  squashfs-root  squashfs.sfs

> ls ./squashfs-root/
bin  dev  etc  home  init  lib  mnt  proc  root  sys  tmp  usr  var  web

Теперь мы имеем директорию squashfs-root с содержимым корневой файловой системы роутера, которое мы можем изучать и редактировать. Для эксперимента я решил сменить пароль root пользователя на роутере. Из следующей строки файла /etc/init.d/rcS нам известно что при запуске роутер создает файл /var/passwd из файла /etc/passwd_orig:

cp /etc/passwd_orig /var/passwd

Меняем хэш оригинального пароля на новый. Во избежание возни с хэшами (в которых я мало разбираюсь) я просто сменил пароль в работающем роутере командой passwd и скопировал новый хэш из файла /etc/passwd.

На роутере:

# passwd
Changing password for root
New password:
Bad password: too short
Retype password:
Password for root changed by root
# cat /var/passwd
root:$1$QiHO6bVZ$k8BN/N3odnO62hEutlykE1:0:0:root:/:/bin/sh
nobody:x:0:0:nobody:/:/dev/nulltmptest:x:1000:1000:Linux User,,,:/home/tmptest:/bin/sh
admin:x:1000:1000:Linux User,,,:/home/admin:/bin/sh
#

В ./squashfs-root:

> cat ./etc/passwd_orig
root:$1$QiHO6bVZ$k8BN/N3odnO62hEutlykE1:0:0:root:/:/bin/sh
nobody:x:0:0:nobody:/:/dev/null⏎

> sudo sed -i 's+$1$86ANwXE8$/oiI3ZYM4plYjUYzXGH3E/+$1$QiHO6bVZ$k8BN/N3odnO62hEutlykE1+g' ./etc/passwd_orig

Для первого раза этих изменений хватит. Теперь нам предстоит собрать прошивку обратно и добиться того чтобы роутер принял ее. Для начала сжимаем файловую систему. Делаем мы это с помощью утилиты mksquashfs. Из вывода binwalk-а мы помним, что файловая система в оригинальной прошивке была сжата алгоритмом xz и имела размер блока 131072 байта. Выполняем:

> sudo mksquashfs ./squashfs-root/ squashfs-mod.sfs -b 131072 -comp xz
Parallel mksquashfs: Using 4 processors
Creating 4.0 filesystem on squashfs-mod.sfs, block size 131072.
[======================================================================================================================================================================/] 517/517 100%

Exportable Squashfs 4.0 filesystem, xz compressed, data block size 131072
        compressed data, compressed metadata, compressed fragments,
        compressed xattrs, compressed ids
        duplicates are removed
Filesystem size 4898.31 Kbytes (4.78 Mbytes)
        30.50% of uncompressed filesystem size (16061.77 Kbytes)
Inode table size 6260 bytes (6.11 Kbytes)
        21.64% of uncompressed inode table size (28929 bytes)
Directory table size 7320 bytes (7.15 Kbytes)
        46.03% of uncompressed directory table size (15904 bytes)
Number of duplicate files found 21
Number of inodes 961
Number of files 453
Number of fragments 55
Number of symbolic links 118
Number of device nodes 349
Number of fifo nodes 0
Number of socket nodes 0
Number of directories 41
Number of ids (unique uids + gids) 3
Number of uids 2
        gnome-initial-setup (124)
        root (0)
Number of gids 1
        pulse (128)

> ls
firmware.bin  squashfs-mod.sfs  squashfs-root  squashfs.sfs

..и получаем готовый файлик с модифицированной файловой системой. Сравниваем его со старым и убеждаемся что мы все правильно сделали:

> binwalk squashfs.sfs

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             Squashfs filesystem, little endian, version 4.0, compression:xz, size: 5012602 bytes, 961 inodes, blocksize: 131072 bytes, created: 2038-04-24 04:11:44

> binwalk squashfs-mod.sfs 

DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             Squashfs filesystem, little endian, version 4.0, compression:xz, size: 5015866 bytes, 961 inodes, blocksize: 131072 bytes, created: 2023-01-01 14:20:39

Размер файловой системы изменился, но для нас это не имеет значения, так как в оригинальной прошивке после файловой системы полно свободного места:

Теперь нам нужно поместить измененную ф.с. в прошивку. Делаем это с помощью команды dd:

> cp firmware.bin firmware-mod.bin
> dd conv=notrunc bs=1 seek=2394146 if=squashfs-mod.sfs of=firmware-mod.bin

Казалось бы все готово, но нет. При попытке обновления через веб интерфейс, роутер (чего и следовало ожидать) выдает ошибку несоответствия контрольной суммы:

Я долго ломал голову над тем как же пересчитать чексумму (да, я пытался вставить чексумму которую выдал веб-интерфейс в конец прошивки, ничего не вышло). Толковой информации в интернете я не нашел. Наткнулся лишь на firmware-mod-kit, который способен проделать всё ранее описанное автоматически. К сожалению, пересчитать контрольные суммы он тоже не смог.

...
CRC update failed.

Firmware header not supported; firmware checksums may be incorrect. 
...

Решил изучить процесс сборки прошивки в раздобытых SDK, как оказалось — не зря. В "rtl819x-SDK-v3.4.9.3-full-package", в файле ./rtl819x/boards/rtl819xD/tools/mkimg я нашел кусок кода который навёл меня на верную мысль:

# run squash fs here 
if [ "$CONFIG_SQUASHFS_LZMA" = "y" ]; then
	rm -f squashfs-lzma.o
        #$MKSQUASHFS_LZMA $RAMFSDIR squashfs-lzma.o -be -always-use-fragments 
        #$MKSQUASHFS $RAMFSDIR squashfs-lzma.o -comp lzma -always-use-fragments 
        $MKSQUASHFS $RAMFSDIR squashfs-lzma.o -comp lzma -always-use-fragments -pf squashfs-pf-list.txt
        if [ "$USE_SAMBA" = 1 -o "$USE_4M" = 1 ]; then
		$CVIMG root squashfs-lzma.o root.bin 2D0000 $ROOTFS_OFFSET
	else
		$CVIMG root squashfs-lzma.o root.bin F0000 $ROOTFS_OFFSET
	fi
		IMGSIZE=`du -s squashfs-lzma.o |  cut -f1`
else
	rm -f squashfs.o
	#$MKSQUASHFS $RAMFSDIR squashfs.o -always-use-fragments
	$MKSQUASHFS $RAMFSDIR squashfs.o -always-use-fragments -pf squashfs-pf-list.txt
	$CVIMG root squashfs.o root.bin F0000 $ROOTFS_OFFSET
	IMGSIZE=`du -s squashfs.o |  cut -f1`
fi
ROOTSIZE=`du -s $RAMFSDIR | cut -f1`
IMGBYTES=`du -b root.bin | cut -f1`
echo "=============================================="
echo "Summary:"
echo "==>Squashfs disk size  = $ROOTSIZE	KBytes"
echo "==>Squashfs image size = $IMGSIZE	KBytes"

...и в свою очередь:

CVIMG=$USERS_DIR/boa/tools/cvimg

Из этого следует, что после сжатия, файловая система обрабатывается некой программой "cvimg", которая нашлась в скомпилированном виде в том же SDK:

> ./cvimg help
Version: 1.1
Usage: cvimg <option> input-filename output-filename start-addr burn-addr [signature]
<option>: root|linux|boot|all|vmlinux|vmlinuxhdr|signature
[signature]: user-specified signature (4 characters)

Но я так и не смог обработать ею файл squashfs-mod.sfs, так как не смог угадать правильное значение для "signature", а работать с каким попало программа отказывалась.

Однако, в исходном коде загрузчика из другого SDK (а именно rtk_openwrtSDK_v2.5_20160905) я нашел другую версию cvimg, а в файле /bootcode/src/bootcode_rtl8197f/btcode/rom_def.h нашел следующую полезную информацию:

typedef struct _IMG_HEADER_TYPE_
{
	unsigned char signature[SIG_LEN];
	unsigned long startAddr;
	unsigned long burnAddr;
	unsigned long len;
} IMG_HEADER_TYPE, *PIMG_HEADER_TYPE;

...которая указывает нам на структуру заголовка прошивки. Как ни странно, эти переменные (а именно startAddr, burnAddr и signature) совпадают с данными которые от нас требует программа cvimg. Значит мы на верном пути. Вот так выглядит cvimg из этого SDK:

> ./cvimg
Usage: cvimg [root|linux|boot|all] input-filename output-filename start-addr burn-addr

Даём программе нашу отредактированную файловую систему, задаём случайные параметры и смотрим что она будет делать:

> sudo ./cvimg root squashfs-mod.sfs squashfs-mod.bin 11111111 22222222
Generate image successfully, length=5017602, checksum=0x93f2

Размер полученного файла squashfs-mod.bin на 18 байт больше исходного. Открываем оба файла в Ghex:

И так, видим что данная программа добавила в начало файла 16 байт с заданной информацией, а именно signature — в данном случае "root", startAddr и burnAddr заданные мною заранее, и lenght — длинна файла в шестнадцатиричной системе.

Также в конце файла появились два байта с контрольной суммой:

Смотрим оригинальную прошивку и... о чудо! Видим там похожую картину:

Как видим, каждый элемент прошивки (а в нашем случае она состоит из двух) имеет свой собственный заголовок и свою контрольную сумму. Бросается в глаза то, что вместо "root", параметр signature в заголовке файловой системы это "r6cr", а для ядра это "cr6c". Что ж, формат прошивки оказался совсем нехитрым.

И так, прогоняем сжатую файловую систему через cvimg, в этот раз указывая значения для startAddr и burnAddr из оригинальной прошивки:

./cvimg root squashfs-mod.sfs squashfs-mod.bin 0022000c 00300000

Стоит отметить что cvimg даёт значение для signature в зависимости от выбранного типа файла (root, linux, boot, all). Задать свое значение не получится. Так что вручную меняем «root» на «r6cr» в hex-редакторе и заливаем squash-mod.bin в прошивку:

sudo dd conv=notrunc bs=1 seek=2394130 if=squash-mod.bin of=firmware-mod.bin

Проверяем. Заходим в веб-интерфейс, выбираем нашу модифицированную прошивку и заливаем. Роутер больше не выдает никаких ошибок и процесс проходит успешно.

Убеждаемся, что наши изменения были внесены, пытаемся залогиниться с новым паролем и... вуаля!

DWR-M921 login: root
Password: 
RLX Linux version 2.0
         _           _  _
        | |         | ||_|                 
   _  _ | | _  _    | | _ ____  _   _  _  _ 
  | |/ || |\ \/ /   | || |  _ \| | | |\ \/ /
  | |_/ | |/    \   | || | | | | |_| |/    \
  |_|   |_|\_/\_/   |_||_|_| |_|\____|\_/\_/

For further information check:
http://processor.realtek.com/
#

Ну вот и все! Мы успешно модифицировали прошивку нашего роутера. Теперь я спокойно могу добавить автозапуск AdGuard’а. Надеюсь на то, что данная информация кому-нибудь да пригодится, и скорее всего данный метод подойдёт для любого устройства работающего на чипсете RTL8197F и ему подобных. До встречи!

P.S: Разбор работы cvimg.

Обнаружил исходный код cvimg в файлах SDK. Вот процесс расчета контрольной суммы для файловой системы:

В файле apmib.h:

#define WORD_SWAP(v) ((unsigned short)(((v>>8)&0xff) | ((v<<8)&0xff00))) // Функция, меняющая местами байты в переменной типа unsigned short (2 байта).

В файле cvimg.c:

// buf - буфер с содержимым исходного файла и двумя дополнительными байтами для контрольной суммы.

		if( !strcmp("root", argv[1])) {
			#define SIZE_OF_SQFS_SUPER_BLOCK 640
			unsigned int fs_len;
			fs_len = DWORD_SWAP((size - sizeof(IMG_HEADER_T) - sizeof(checksum) - SIZE_OF_SQFS_SUPER_BLOCK));
			// fs_len - Разность размера оригинального файла и заданого размера суперблока squashfs (640). Байты поменяны местами функцией WORD_SWAP().
			memcpy(buf + 8, &fs_len, 4); // Записывает значение переменной fs_len в буфер, начиная с восьмого байта.
		}

static unsigned short calculateChecksum(char *buf, int len) // len - длинна исходного файла.
{
	int i, j;
	unsigned short sum=0, tmp;

	j = (len/2)*2; // j = размер исходного файла. Если число нечётное, то при делении на два дробная часть упраздняется, так как j является переменной типа int, которая допускает только целые числа, и в результате получается число на единицу меньше исходного.

	for (i=0; i<j; i+=2) {
		tmp = *((unsigned short *)(buf + i));
		sum += WORD_SWAP(tmp);
	} // Считывает по два байта из буфера, меняет их местами функцией WORD_SWAP() и суммирует к переменной sum, пока не считает количество байт равное j.

	if ( len % 2 ) {
		tmp = buf[len-1];
		sum += WORD_SWAP(tmp);
	} // Если len нечетное число, дополнительно считывает последний байт из буфера, "переворачивает" функцией WORD_SWAP и суммирует к переменной sum.
	return ~sum+1; // Инвертирует значение битов переменной sum, суммирует 1, и возвращает результат функции calculateChecksum().
}

		checksum = WORD_SWAP(calculateChecksum(buf, status.st_size)); // Считает контрольную сумму, меняет местами байты и записывает результат в переменную checksum.
		*((unsigned short *)&buf[size-sizeof(IMG_HEADER_T)-sizeof(checksum)]) = checksum; // Записывает значение переменной checksum в конец буфера.

Файлы на GitHub — cvimg, cvimg.c, apmib.h.