Xiang Li | 李想
gml's blog
Xiang Li | 李想
Chuhan Wang | 王楚涵
wchhlbt-个人小站
Sunskey - 日拱一卒，不期而至
Shuwen's blog
Description: I love blingbling.
议题 Unearthing the TrustedCore: A Critical Review on Huawei’s Trusted Execution Environment 的子部分，其分析的TEE方案是华为自研的TrustedCore，解密TA的大概流程主要有三步：（1）模拟运行TEE中的白盒密码算法解出RSA私钥prikeyx。（2）使用RSA的私钥prikeyx解密TA头部的manifest。（3）使用解密后manifest中的AES key 解密 TA 正文。但作者没有给出解密过程中的一些细节，例如RSA和AES密钥的组织方法。所以我尝试复现了这个解密，并给出解密过程中的所有细节。
欢迎报名 OSR TrustZone Pwn
题目为采用8051模拟器运行的交互式程序，交互命令可以读写I2C总线设备。漏洞点为其对I2C总线设备号校验不严格，导致可以通过交互式命令行读写到挂接在I2C总线上的，并存储着8051程序代码的EEPROM。而flag位于8051可以访问的特殊寄存器中，因此通过对EEPROM的非法写即可写入shellcode并完成控制流劫持。不过由于EEPROM物理特性，通过I2C总线对其写入只能按bit将1写为0，但这现象似乎违背EEPROM可重复擦写的特征，其实其擦写的方法为通过对其引脚的一系列电平操作，使得整块EEPROM全部bit归1，然后按bit将1写0，这个操作在现实中一般使用编程器对EEPROM单独操作，在8051的shellcode中无法完成，本模拟器也将本物理特性如实模拟。因此对于本题中控制流劫持的位置以及shellcode写入位置都有额外的限制，需要针对题目固件选择特定的位置进行写入。
Xiang Li | 李想
gml's blog
Xiang Li | 李想
Chuhan Wang | 王楚涵
wchhlbt-个人小站
Sunskey - 日拱一卒，不期而至
Shuwen's blog