juis_check

[Sven-Moennich]

please add support for bpjm modul to tools/juis_check.
maybe a patch option "update bpjm.data" make sense.

get the newest bpjm data simple use something like this:

read -r -d '' message << EOM
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/" xmlns:soap-enc="http://schemas.xmlsoap.org/soap/encoding/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:e="http://juis.avm.de/updateinfo" xmlns:q="http://juis.avm.de/request">
<soap:Header/>
<soap:Body>
<e:BPjMUpdateCheck>
<e:RequestHeader>
<q:Nonce>Quq+UIUqpztL3gqWNAbHpA==</q:Nonce>
<q:UserAgent>BoxInternetCheck</q:UserAgent>
<q:ManualRequest>true</q:ManualRequest>
</e:RequestHeader>
<e:BoxInfo>
<q:Name>FRITZ!Box Dummy</q:Name>
<q:HW>226</q:HW>
<q:Major>154</q:Major>
<q:Minor>7</q:Minor>
<q:Patch>29</q:Patch>
<q:Buildnumber>1000</q:Buildnumber>
<q:Buildtype>1</q:Buildtype>
<q:Serial>000000001</q:Serial>
<q:OEM>avm</q:OEM>
<q:Lang>de</q:Lang>
<q:Country>049</q:Country>
<q:Annex>B</q:Annex>
<q:Flag>crashreport</q:Flag>
<q:Flag>avm_acs</q:Flag>
<q:Flag>myfritz_letsencrypt</q:Flag>
<q:Flag>medium_dsl</q:Flag>
<q:Flag>mesh_master</q:Flag>
<q:UpdateConfig>3</q:UpdateConfig>
<q:Provider>vodafone2_vdsl</q:Provider>
<q:ProviderName>Vodafone</q:ProviderName>
</e:BoxInfo>
<e:BPjMVersion>$(date +%Y%m%d)</e:BPjMVersion>
</e:BPjMUpdateCheck>
</soap:Body>
</soap:Envelope>
EOM

RET=$(curl -s -X POST http://185.jws.avm.de:80/Jason/UpdateInfoService -H "Content-Type: application/xml" -H "Accept: application/xml" -d "$message")

[fda77]

I've added dect and bpjm to juis_check:

$  env - tools/juis_check --dect Version=154.07.35-80123 Name=FRITZ\!Box 7590 HW=226  DHW=06.03 DSW=04.90            -s
Found newer version: 4.92

$  env - tools/juis_check --bpjm Version=154.07.35-80123 Name=FRITZ\!Box 7590 HW=226   -s
Found newer version: 20220427

But i dont know how this should be used on the deivce. I've never used it! Doesnt avm update this file by itself?
It's recommended to use https as there is no signature check in the script!

• Do you know how to verify the signature of juis?
• Do you know how to decrypt bpjm?
• Do you know if there are other types except fos/dect/bpjm?

[Sven-Moennich]

Ich schreib mal auf deutsch...

Bei dect hab ich beim payload gesehen das du <q:Type>2</q:Type> nutzt.
der Type wird [0-9]{1,2} geprüft wobei es ein enum [1,2,3] ist. Ich meine 1=DECT; 2=PLC; 3=LTE
DECT ist klar. PLC müssen die Powerliner ohne eigene oberfläche sein. LTE ka.
Das PLC 2 ist wird aus der usr/share/ctlmgr/libplcctlmgr.so ersichtlich.

bpjm.data
ich hab nur das gefunden
/var/InternerSpeicher/FRITZ/bpjm.data
/var/bpjm.data
/var/bpjm.data.update
/etc/bpjm.data
Es scheint so als würde sbin/contfiltd das bpjm update übernehmen. genaueres weis ich auch nicht.

juis signatur
kann ich im moment auch nix zu sagen.

bpjm konvertieren. ja das ist recht einfach.

od -t x1 -An -j 64 $RAWFILE | tr -d '\n ' > $OUTFILE
sed -i -e 's/.\{66\}/&\n/g' $OUTFILE
sed -i 's/.\{32\}/& /' $OUTFILE
sed -i 's/.\{65\}/& /' $OUTFILE

ergibt eine liste mit md5
ich hab aber noch nicht alle rausgefunden.

andere typen. ja.
neben der suche nach neuerer box firmware
BoxFirmwareUpdateCheck
gibt es noch die suche nach downgrades
BoxFirmwareDowngradeCheck
dann gibt es
DeviceFirmwareUpdateCheck
damit lässt sich firmware finden für box/repeater die als client arbeiten.
dann
BPjMUpdateCheck
und
SoftwareUpdateCheck
und
BoxPluginCheck
und
BoxMessageCheck
wobei ich da im moment auch nicht allzuviel zu sagen kann.
Aber wenn ich wieder was hab lass ich es dich wissen.

[Sven-Moennich]

Zu Informationszwecken:

Server.Host                     jws-test.avm.de
                                jws.avm.de
Server.URL                      /Jason/MessageInfoService
                                /Jason/UpdateInfoService
Server.Port


RequestHeader
RequestHeader.Nonce             Nonce           AnonType_NonceRequestHeader             maxLength '256'
RequestHeader.UserAgent         UserAgent                                               "BoxInternetCheck" "TestClient"?
RequestHeader.ManualRequest     ManualRequest                                           boolean

e:BoxInfo
BoxInfo.Name                    Name            AnonType_NameBoxInfo                    maxLength '100'
BoxInfo.HW                      HW              AnonType_HWBoxInfo                      pattern '[0-9]{1,5}'
BoxInfo.Major                   Major           AnonType_MajorBoxInfo                   pattern '[0-9]{1,3}'
BoxInfo.Minor                   Minor           AnonType_MinorBoxInfo                   pattern '[0-9]{1,3}'
BoxInfo.Patch                   Patch           AnonType_PatchBoxInfo                   pattern '[0-9]{1,4}'
BoxInfo.Buildnumber             Buildnumber     AnonType_BuildnumberBoxInfo             pattern '[0-9]{1,7}'
BoxInfo.Buildtype               Buildtype       AnonType_BuildtypeBoxInfo               pattern '[0-9]{1,5}'
BoxInfo.Serial                  Serial          AnonType_SerialBoxInfo                  pattern '[A-Za-z0-9]([A-Za-z0-9 ]*[A-Za-z0-9])?'
BoxInfo.OEM                     OEM             AnonType_OEMBoxInfo                     maxLength '20'
BoxInfo.Lang                    Lang            AnonType_LangBoxInfo                    pattern '[a-z]{0}|[a-z]{2}'
BoxInfo.Lab                     Lab
BoxInfo.Country                 Country         AnonType_CountryBoxInfo                 pattern '[0-9]{0}|[0-9]{2,5}'
BoxInfo.Annex                   Annex           AnonType_AnnexBoxInfo                   maxLength '20'
BoxInfo.Flag                    Flag            AnonType_FlagBoxInfo                    pattern '[A-Za-z0-9_]{0,100}'
BoxInfo.UpdateConfig            UpdateConfig    AnonType_UpdateConfigBoxInfo            pattern '[0-9]{1,3}'
BoxInfo.Provider                Provider        AnonType_ProviderBoxInfo                maxLength '255'
BoxInfo.ProviderName            ProviderName    AnonType_ProviderNameBoxInfo            maxLength '255'

e:BPjMUpdateCheck
BPjMVersion

e:DeviceFirmwareUpdateCheck
DeviceInfo.Type                 Type            AnonType_TypeDeviceInfo                 pattern '[0-9]{1,2}'; enumeration '[1, 2, 3]'
DeviceInfo.HW                   HW
DeviceInfo.MHW                  MHW             AnonType_MHWDeviceInfo                  pattern '[A-Za-z0-9\s\.]+'
DeviceInfo.Version              Version         AnonType_VersionDeviceInfo              pattern '([0-9]{1,10}\.){1}([0-9]{1,10}){1}(\.[0-9]{1,10}){0,2}(-[0-9]{1,6})?'
DeviceInfo.Serial               Serial          AnonType_SerialDeviceInfo               pattern '(([A-Fa-f0-9]{2}:){5}([A-Fa-f0-9]{2}){1})|(([0-9]{12}){1})|([0-9]{2}-([0-9]{6}-){2}[0-9]{1})|([0-9]{15})'
DeviceInfo.Lang                 Lang            AnonType_LangDeviceInfo                 pattern '[a-z]{0}|[a-z]{2}'

e:SoftwareUpdateCheck
SoftwareInfo.Name               Name            AnonType_NameSoftwareInfo               maxLength '100'
SoftwareInfo.Version            Version         AnonType_VersionSoftwareInfo            pattern '([0-9]{1,10}\.){1}([0-9]{1,10}\.){1}([0-9]{1,10}){1}(-[0-9]{1,6})?'
SoftwareInfo.Lang               Lang            AnonType_LangSoftwareInfo               pattern '[a-z]{0}|[a-z]{2}'
SoftwareInfo.OS                 OS              AnonType_OSSoftwareInfo                 maxLength '50'
SoftwareInfo.Serial             Serial          AnonType_SerialSoftwareInfo             maxLength '256'

Sorry für die .... Formatierung

[fda77]

Die 7390 nutzt als UserAgent "Box".
Der ProviderName fällt wohl komplett weg falls er leer ist.
Bist du mit DeviceInfo.HW sicher? Ich hatte bei meiner 7490 ein dect-update mitgeloggt, da war das nicht drin. Vielleicht nur bei LTE oder PLC?

[fda77]

Ich find deutsch auch einfacher.
Mehrzeilige Codeblöcke haben 3 statt 1 der accent grave, oder wie das auf deutsch heisst :)

Ob Type 1/2/3 scheint egal zu sein, man bekommt immer eine Antwort, ich hab default auf 1 geändert

BoxPluginCheck:
eine 7390 frägt die Plugins über so eine jason url ab:
http://boxplugin.avm.de/cgi-bin/boxplugin?name=FRITZ!Box+Fon+WLAN+7390&revision=92934&version=84.06.87&subversion=&hw=156&OEM=avm
die dann das Plugin zurück gibt:
URL="http://boxplugin.avm.de/boxplugin/156/84.06.87/92934..avm.plugin"

Für das BoxPluginCheck müsste man eine 4020 haben, da diese fos 7.0 hat

Alle mit plugins:

grep PLUGIN config/.img/* -l
config/.img/4020.in
config/.img/7270_V1.in
config/.img/7360_SL--EN--06_2X.in
config/.img/7360_V1--EN--06_2X.in
config/.img/7390--DE--06_5X.in
config/.img/7390--DE--06_8X.in
config/.img/7390--EN--06_2X.in
config/.img/7390--EN--06_5X.in
config/.img/7390--EN--06_8X.in

BoxMessageCheck:
Das hab ich zufällig mitgeschnitten als ich die plugins loggen wollte, die Nachticht ist aber leer. Hab ich hinzugefügt: --info. Wichtig: Die 1. Zeile hat mehr xmlns-Einträge.

DeviceFirmwareUpdateCheck:
Könnte das auch für Powerline sein?

BoxFirmwareDowngradeCheck:
Würde ich für Docsis vermuten, da diese keine öffentlichen Recovery haben (gibt es da so eine Option?)

LTE:
Manche LTE Boxen haben noch eine extra Modem firmware. Wenn man FRITZ.Box_6850_LTE-07.29.image (85mb!) mit tar entpackt sieht man noch ein /lte/ Verzeichnis mit 2 Dateien von 54MB!

cat /lte/modfw.nfo
timestamp=1635295458
mobiled_git=2.374.1.19-psq19_p2_branch-JZ94144_6890_A1_Fix
mobiled_api=0
module_api=1
module_name=NL668-EAU
module_hwid=7004
module_mfid=Qualcomm.Fibocom.NL668EAU
module_file=19006.1000.00.01.73.41_009.bin
module_version=19006.1000.00.01.73.41_009

Ich hab es nicht geschafft davon mit juis eine url zu bekommen, ich vermute man brauch noch eine "xmlns", ohne tcpdump nicht möglich

Powerline:
Ich hab es auch auch nicht geschafft irgend eine Powerline Firmware zu finden, da fehlt wohl auch irgendwas -> tcpdump auf einer FB die PLC kennt

[fda77]

bpjm:

od -t x1 -An -j 64 $RAWFILE | tr -d '\n ' > $OUTFILE
sed -i -e 's/.\{66\}/&\n/g' $OUTFILE
sed -i 's/.\{32\}/& /' $OUTFILE
sed -i 's/.\{65\}/& /' $OUTFILE

könnte man vereinfachen nach

od -t x1 -An -j 64 $RAWFILE | tr -d '\n ' | sed -e 's/.\{66\}/&\n/g' | sed 's/.\{32\}/& /' | sed 's/.\{65\}/& /' > $OUTFILE

oder so schreiben, das läuft auch auf der box:

hexdump -s 64 -v -e '16/1 "%02x" " " 16/1 "%02x" " " 1/1 "%02x\n"' $RAWFILE > $OUTFILE

oder noch die md5 für einen leeren String rausnehmen

hexdump -s 64 -v -e '16/1 "%02x" " " 16/1 "%02x" " " 1/1 "%02x\n"' $RAWFILE | sed 's/d41d8cd98f00b204e9800998ecf8427e 00$//' > $OUTFILE

Wofür stehen denn diese 3 Spalten?

[fda77]

BoxFirmwareDowngradeCheck (--down) geht nun auch

[Sven-Moennich]

Powerline

Host: jws.avm.de:80
Content-Length: 1593
Content-Type: text/xml; charset="utf-8"

<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/" xmlns:soap-enc= "http://schemas.xmlsoap.org/soap/encoding/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:e="http://juis.avm.de/updateinfo" xmlns:q="http://juis.avm.de/request">
<soap:Header/>
<soap:Body>
<e:BoxFirmwareUpdateCheck>
<e:RequestHeader>
<q:Nonce>ixwoteLGzmKa4AefeGbO8w==</q:Nonce>
<q:UserAgent>Box</q:UserAgent>
<q:ManualRequest>true</q:ManualRequest>
</e:RequestHeader>
<e:BoxInfo>
<q:Name>FRITZ!Powerline 546E</q:Name>
<q:HW>190</q:HW>
<q:Major>118</q:Major>
<q:Minor>7</q:Minor>
<q:Patch>13</q:Patch>
<q:Buildnumber>70668</q:Buildnumber>
<q:Buildtype>1001</q:Buildtype>
<q:Serial>000000000000</q:Serial>
<q:OEM>avm</q:OEM>
<q:Lang>de</q:Lang>
<q:Country>049</q:Country>
<q:Annex>Ohne</q:Annex>
<q:Flag>crashreport</q:Flag>
<q:UpdateConfig>3</q:UpdateConfig>
<q:Provider></q:Provider>
<q:ProviderName></q:ProviderName>
</e:BoxInfo>
<e:BoxInfoMeshMaster xmlns:e="http://juis.avm.de/updateinfo" xmlns:q="http://juis.avm.de/request">
<q:Name>FRITZ!Powerline 546E</q:Name>
<q:HW>190</q:HW>
<q:Major>118</q:Major>
<q:Minor>7</q:Minor>
<q:Patch>13</q:Patch>
<q:Buildnumber>70668</q:Buildnumber>
<q:Buildtype>1001</q:Buildtype>
<q:Serial>000000000000</q:Serial>
<q:OEM>avm</q:OEM>
<q:Lang>de</q:Lang>
<q:Country>049</q:Country>
<q:Annex>Ohne</q:Annex>
<q:Flag>crashreport</q:Flag>
<q:UpdateConfig>3</q:UpdateConfig>
<q:Provider></q:Provider>
<q:ProviderName></q:ProviderName>
</e:BoxInfoMeshMaster>
</e:BoxFirmwareUpdateCheck>
</soap:Body>
</soap:Envelope>```

[fda77]

Der 546e ein Powerline mit Fritzos, kann also selbst nach neuer Firmware suchen:

$ tools/juis_check HW=190 -s
Found newer version: 118.06.50

Diese dect/type plc sind wohl mehr für Powerline die nicht selbst suchen, wie zB 1220 oder 510

Dieser "BoxInfoMeshMaster" Teil scheint AVM einfach nur zu verraten was der Master ist. Das ist entweder lediglich ausspähen, oder die Slaves bekommen nur ein Update falls der Master aktuell genug ist (ich weiss nicht ob es da Inkompatibilitäten gibt)
OT: Diesen Master + Slaves Unsinn gibt es in einem richtigen Mesh nicht, dieses Konstrukt wir bei AVM aus werbezwecken Mesh genannt

Komisch dass in dieser Anfrage ein leerer "ProviderName" Eintrag ist, bei meiner (7390 oder 7490) war der weggefallen wenn er leer war

[Sven-Moennich]

Oh sorry. Die Anfrage stammt nicht von einer box. Die stammt von meinem program. Darum ist der Eintrag leer.
BoxInfoMeshMaster. Genau. Es geht dabei nur um den Master. Ich hatte es schon öfter das es zb ein Repeater update nur gab weil der Master aktuell war. ähnlich wie beim fritz fon. das ja auch nur updates für die box bekommt wo es angemeldet ist.

[Sven-Moennich]

bpjm modul

Die Liste sind drei Teile
md5(domain) md5(file) (bin mir nicht sicher)
domain beginnt immer mit "http://" gefolgt von der somain ohne subdomain wie www oder sowas.
file ist sowas wie /files/movie/film1.mp4
bin mir nicht sicher könnte einmal ne angabe sein wie weit die file angabe fürn pfad gilt. aber auch aus welcher sperrliste der eintag stammt.

[Sven-Moennich]

ach so. bpjm file format.
Es wäre ggf sinnvoll die ersten 64 byte der datei zu vergleichen.
vllt hast du ja eine sammlung an dateien.

[Sven-Moennich]

Zu den bpjm daten
crc32 berechnen.

# bpjm Daten holen
wget http://download.avm.de/bpjm/199186/bpjm_20220427_bpjm-modul_04_22.txt.data -O bpjm.data

# CRC32 entfernen
dd bs=1 skip=4 if=bpjm.data of=bpjm.data.stripped

# Dateiheader entfernen
# Daten convertieren
# Mach was mit den Daten
# Daten zurück convertieren
# Header davor malen

# CRC32 berechnen
CRC32=$( crc32 bpjm.data.stripped | xxd -r -p )

# CRC32 an Dateianfang setzen
echo -n $CRC32 >bpjm.data.new
cat bpjm.data.stripped >>bpjm.data.new

# Dateien vergleichen
cmp bpjm.data bpjm.data.new

[fda77]

Ist ja witzig dass da eine crc32 drin ist

00000000  df 63 9b 16 01 32 30 32  32 30 34 32 37 5f 62 70  |.c...20220427_bp|
00000010  6a 6d 2d 6d 6f 64 75 6c  5f 30 34 5f 32 32 2e 74  |jm-modul_04_22.t|
00000020  78 74 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |xt..............|
00000030  00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00  |................|

Die ersten 64 byte der bpjm Datei enthalten also

• 4 Byte crc32
• Trenner 0x01
• Dateiname ohne "bpjm_" am Anfang
• 0x00 bis Ende des Blockes

RAW=bpjm_20220427_bpjm-modul_04_22.txt.data

calc="$(crc32 <( tail -c +$((1 + 4)) $RAW ))"
read="$(head -c4 $RAW | xxd -p)"

[ "$calc" != "$read" ] && echo "fail: $read != $calc" || echo "match: $read"

Die URL dieser Datei wird laut Juis von http://download.avm.de/bpjm/ unverschlüsselt heruntergelden
Es gibt also keine Signatur oder sonstige Überprüfung. Dh jeder der Zugriff auf die Internetverbindung hat kann beliebige Hosts in kompletten LAN sperren.

Die aktuelle (wie AVM selbst schreibt) Schwachstelle in uclibc ist genau auf dem selben Weg ausnutzbar, nämlich wenn man Zugriff auf die Internetverbindung hat https://avm.de/service/aktuelle-sicherheitshinweise/

Jetzt muss sich AVM entscheiden ob das nun eine Schwachstelle ist oder nicht.

[fda77]

Die uralte uclibc 1.0.31 die AVM auf der 7490 nutzt, führt übrigens remote-code aus: https://www.cvedetails.com/cve/CVE-2021-43523/ Das wurde in 1.0.39 gefixt, Freetz nutzt seit langem 1.0.40

[Sven-Moennich]

Header passt. Hab noch nicht probiert wie lang der Dateiname sein darf. aber ich vermute das sind die rest zeichen die auf null sind.
Unverschlüsselt runter geladen stimmt. Nur der juisclient prüft die Antwort. wenn die signatur passt wird einfach per wget gearbeitet.
Die Datei selbst hat halt nur den crc32, was ja mehr spielerei ist.

baust du das zurück convertieren der raw daten ins bpjm format ?

[fda77]

Wenn du ein update-url bekommst und die signatur stimmt wird diese heruntergeladen. Dieser download kann verändert werden da es

• unverschlüsselt nur http ist
• es keine signatur oder sonst was gibt (checksumme kann man berechnen)

Länge der Bezeichnung im Header: 64 - 4x crc - 1x trenner 0x01 - 1x stringende 0x00 = 58 bytes/zeichen (max)

Rückwärts ist kein Probme, die 32+32+2 ascii als bytes schreiben, und den header davor. Kann man sich komplett selbst erstellen. Da das ganze bei AVM aber nicht mit https funktioniert finde ich das ganze filtern wenig sinnvoll (und dazu unsicher)