Speed Touch HOME diventa PRO

DISCLAIMER
The following informations are provided for scientific and technical purposes
only. Any other use is expressly forbidden.
The author is not liable for any direct, indirect or consequential kind of
damage arising from the use of the following informations

L'alcatel ADSL speedTouch HOME e il PRO sono la stessa macchina.

Intro:
Ho scoperto un comando nascosto (drv_write) e non documentato della modalita'
EXPERT (scoperta da Shimomura e anch'essa nascosta e  non documetnata) che
permette di togliere le limitazioni dell'HOME e farlo diventare un PRO.

In pratica le differenze tra i due apparati non esistono tranne la porta
seriale in dotazione con il PRO ma che puo' essere facilmente installata anche
su un HOME.

La cosa interessante e' che l'alcatel vende i due prodotti uno come modem ADSL
e l'altro come router ADSL con una differenza di prezzo di circa 500.000 lire.

Economia di scala?

Exploit:
Ma veniamo alle questioni tecniche:

Entrare in modalita' EXPERT sull'HOME digitando il comando EXPERT e la password
challenge and response che trovate sul sito di shimomura.

http://security.sdsc.edu/self-help/alcatel/challenge.cgi


User :
------------------------------------------------------------------------
*
*                             ______
*                         ___/_____/\
*                        /         /\\ ALCATEL ADSL MODEM
*                  _____/__       /  \\
*                _/       /\_____/___ \   Version 3.2
*               //       /  \       /\ \
*       _______//_______/    \     / _\/______ Copyright 1999.
*      /      / \       \    /    / /        /\
*   __/      /   \       \  /    / /        / _\__
*  / /      /     \_______\/    / /        / /   /\
* /_/______/___________________/ /________/ /___/  \
* \ \      \    ___________    \ \        \ \   \  /
*  \_\      \  /          /\    \ \        \ \___\/
*     \      \/          /  \    \ \        \  /
*      \_____/          /    \    \ \________\/
*           /__________/      \    \  /
*           \   _____  \      /_____\/
*            \ /    /\  \    /
*             /____/  \  \  /
*             \    \  /___\/
*              \____\/
*
-----------------------------------------------------------------------
=>EXPERT
'SpeedTouch (00-90-D0-06-22-1B)'
Password :

Switch to expert mode.

Return to Normal mode by typing <NORMAL>

>help

Built-in shell commands :
boot         cd           cleandisk    copy         df
dev          dir          download     dump         echo
fdisk        format       fscheck      link         load
mkdir        move         mount        pwd          remove
rmdir        sync         unmount      upload       version
short

Following topics are available :

dbg         err         xapi        guard       rip
ni          etha        atm         atm         eth
llc         atmf        iwu         sock        ipoa
ipoa        tcp         pptp        eqm         tftp
config      system      softwa      phoneb      bridge
dns         dhcp        dhcpc       sachem      eoc
aoc         hs          mlit        msit        golden
tdsl

>


come vedete non sono presenti i menu cip ppp e nat tipici del router PRO.

Andate nel menu RIP e digitate il comando drv_read 2 1 b

>rip
rip>drv_read 2 1 b
the data in hex is :  8600

Cambiate ora il valore 8600 con 8606 con il comando NON DOCUMENTATO e
NON ESISTENTE nell'help chiamato:

drv_write

digitate:

rip> drv_write 2 1 b 8606

rebottate il modem.

A questo punto il vostro Modem ADSL Alcatel SpeedTouch HOME si e' trasformato
in un PRO.


User :
------------------------------------------------------------------------
*
*                             ______
*                         ___/_____/\
*                        /         /\\ ALCATEL ADSL MODEM
*                  _____/__       /  \\
*                _/       /\_____/___ \   Version 3.2
*               //       /  \       /\ \
*       _______//_______/    \     / _\/______ Copyright 1999.
*      /      / \       \    /    / /        /\
*   __/      /   \       \  /    / /        / _\__
*  / /      /     \_______\/    / /        / /   /\
* /_/______/___________________/ /________/ /___/  \
* \ \      \    ___________    \ \        \ \   \  /
*  \_\      \  /          /\    \ \        \ \___\/
*     \      \/          /  \    \ \        \  /
*      \_____/          /    \    \ \________\/
*           /__________/      \    \  /
*           \   _____  \      /_____\/
*            \ /    /\  \    /
*             /____/  \  \  /
*             \    \  /___\/
*              \____\/
*
-----------------------------------------------------------------------

=>help
Following command groups are available :

config          system          software        ip              phonebook
nat             cip             ppp             pptp            bridge
atmf            dns             dhcp

=>


Con i comandi CIP NAT e PPP e tutte le funzionalita' del PRO.

Il RIP sembra essere una zona di memoria di cui non ho capito
ancora il funzionamento, ma sicuramente è qualcosa che viene interrogata al
boot e sta al di fuori del firmware.

Ho testato personalmente i seguenti parametri con i seguenti risultati:

	8600 (Home default)
	8606 (PRO default)
	8700 (Home con atmf)
	8706 (PRO con atmf)

	8601 (home)
	8602 (pro)
	8603 (pro)
	8604 (home)
	8605 (home)
 	8607 (pro)
	8608 (home)
	8609 (pro)
	8610 (home)
	8611 (home)

Attenzione a fare le prove si potrebbe danneggiare il modem per sempre.

Ho testato questi valori su uno speed touch home con firmware 132 e 134.

Sto ancora indagando e invito tutti a farlo perche' penso che le sorprese non
siano finite.

Ringraziamenti:
Andrea Monti, franko21, rubik, pivy,
noxious e Umby per aver costruito l'interfaccia seriale con il max232
la Metro Olografix
http://www.spaghettihacker.it

*************************************
* Stefano Chiccarelli               *
* Presidente Metro Olografix        *
* /"\                               *
* \ /     ASCII RIBBON CAMPAIGN     *
*  X        AGAINST HTML MAIL       *
* / \                               *
*************************************


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List