有趣的Hack-A-Sat黑掉卫星挑战赛——控制卫星载荷任务调度

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

资讯

有趣的Hack-A-Sat黑掉卫星挑战赛——控制卫星载荷任务调度

2023-03-27 19:59:57

所属地甘肃省

国家太空安全是国家安全在空间领域的表现。随着太空技术在政治、经济、军事、文化等各个领域的应用不断增加，太空已经成为国家赖以生存与发展的命脉之一，凝聚着巨大的国家利益，太空安全的重要性日益凸显^[1]。而在信息化时代，太空安全与信息安全紧密地结合在一起。

2020年9月4日,美国白宫发布了首份针对太空网络空间安全的指令——《航天政策第5号令》，其为美国首个关于卫星和相关系统网络安全的综合性政策，标志着美国对太空网络安全的重视程度达到新的高度。在此背景下，美国自2020年起，连续两年举办太空信息安全大赛“黑掉卫星（Hack-A-Sat）”，在《Hack-A-Sat太空信息安全挑战赛深度解析》一书中有详细介绍，本文介绍了Hack-A-Sat黑掉卫星挑战赛的控制卫星载荷任务调度（monroe）这道赛题的解题过程。

题目介绍

Time for a really gentle introduction to cFS and Cosmos, hopefully you can schedule time to learn it!

Build instructions:

$ ./setup.sh $ source ~/.bashrc $ rm Gemfile.lock $ bundle install

Hint: You will need to enable telemetry locally on the satellite, the udp forwarder will provide it to you as TCP from there:

cosmos.tar.gz calendar_hint1.zip

Connect to the challenge on calendar.satellitesabove.me:5061.

从题目描述中可以获取如下信息：

（1）与cFS、COSMOS有关，在下文会有这两个系统的基本介绍。

（2）本题目需要先使能卫星的遥测功能。

（3）提供了两个压缩包，其中cosmos.tar.gz是定制的COSMOS，并且给出了安装操作的指令；calendar_hint1.zip解压缩后有三个文件，如下所示，都是JSON格式的文件，具体含义还不知道，后文会分析。

cpu1_kit_sch_msg_tbl.json
cpu1_kit_sch_sch_tbl.json
cpu1_kit_to_pkt_tbl.json

以上就是题目的全部信息，可能需要安装COSMOS后可以获得更全面的信息。

编译及测试

为了检验下载的源代码是正确的，可以先编译并测试一下。进入hackasat2020的monroe目录下，直接编译，还是比较顺利的，就是时间可能比较长。

sudo make build

使用如下命令进行测试，测试结果如图6-1所示。从图6-1中可以发现正确地获取到了flag值。

sudo make test

图6-1 monroe测试结果

题目解析

1．KIT_SCH的消息表

打开cpu1_kit_sch_msg_tbl.json，其中有如下描述，这里定义了消息的格式，可以发现是CCSDS消息，关于CCSDS在前文已经有了介绍，就不再介绍了，而且解答本挑战题是不需要知道详细细节的。

"name": "Scheduler Table Message Table",
"description": [
"Maximum of 32 words per CCSDS message. The first three words are",
"the primary header that must be big endian:                     ",
"uint16 StreamId;     /* packet identifier word (stream ID) */ ",
" /* bits shift                description                  */",
" /* 0x07FF    0 : application ID                            */",
" /* 0x0800   11 : secondary header: 0 = absent, 1 = present */",
" /* 0x1000   12 : packet type:      0 = TLM, 1 = CMD        */",
" /* 0xE000   13 : CCSDS version, always set to 0            */",
"uint16 Sequence;     /* packet sequence word */                ",
" /* bits shift                description                  */",
" /* 0x3FFF    0 : sequence count                            */",
" /* 0xC000   14 : segmentation flags: 3 = complete packet */",
"uint16 Length;       /* packet length word */                  ",
" /* bits shift                description                  */",
" /* 0xFFFF    0 : (total packet length) - 7                 */"
],

在定义之后是一些具体的消息，值得注意的是，有一个消息如下，它与flag有关，从名称分析，这应该是让KIT_TO发送flag的消息。

{"message": {
"name": "KIT_TO_SEND_FLAG_MID",
"descr": "Super Secret Flag Sending Telemetry Message",
"id": 42,
"stream-id": 33304,
"seq-seg": 192,
"length": 256
}},

2．KIT_SCH的调度表

打开cpu1_kit_sch_sch_tbl.json，其中有如下描述，这里描述了这张表的作用，大意是每秒调度执行5个slot，每个slot最多有10个activity（活动），可以理解为KIT_SCH依据这张表的信息，周期执行相应的activity。

"name": "Scheduler Activity Table",
"description": ["Activities are defined in time slots. There are 5 slots per second",
"and 10 entries per slot. This kit table is organized based on app",
"role. A flight table would be based on real-time needs.",
"The boolean property uses a string for simplicty.",
"The FSW parser uses named objects for callbacks, but named objects",
"can't be array elements which is why they are in brackets."
],

例如，第1个slot的内容如下，注意每个activity的属性中有一个msg-id，应该是与KIT_SCH的消息表中每个消息的id是对应的。

{"slot": {

"index": 0,
"activity-array" : [

{"activity": {
"name": "cFE ES Housekeeping",
"descr": "",
"index": 0,
"enable": "true",
"frequency": 4,
"offset": 0,
"msg-id": 0
}},

......

{"activity": {
"name": "Time Housekeeping",
"descr": "",
"index": 4,
"enable": "true",
"frequency": 4,
"offset": 0,
"msg-id": 4
}}
]
}},

3．KIT_TO的过滤表

打开cpu1_kit_to_pkt_tbl.json，在最开始有如下描述，定义了会被KIT_TO发送的遥测数据包，在此处使用的KIT_TO不具有过滤功能。在文件中定义了flag消息对应的遥测数据包。后来发现，这个文件在本挑战题的解答过程中，并没有用到。

{
"name": "Telemetry Output Table",
"description": "Define default telemetry packets that are forwarded by KIT_TO.
KIT_TO does not have any filtering capabilities.
Each packet entry contains:
CFE_SB_MsgId_t, CFE_SB_Qos_t (Priority,Reliability), Buffer Limit",

......

"packet": {
"name": "KIT_TO_TLM_FLAG_MID",
"stream-id": "\u0886",
"dec-id": 2182,
"priority": 0,
"reliability": 0,
"buf-limit": 4
},

4．KIT_SCH工作过程分析

OSK的文档中关于KIT_SCH的描述非常少，其内部具体是如何工作的，需要通过代码分析得到。下载OSK的代码，打开kit_sch_app.c，找到KIT_SCH_AppMain函数，其中调用了InitApp函数，在InitApp函数中加载了两张表，两张表就是上文分析的KIT_SCH的消息表、KIT_SCH的调度表。代码如下：

#define KIT_SCH_DEF_MSG_TBL_FILE_NAME "/cf/kit_sch_msg_tbl.json"
#define KIT_SCH_DEF_SCH_TBL_FILE_NAME "/cf/kit_sch_sch_tbl.json"
......

TBLMGR_RegisterTblWithDef(TBLMGR_OBJ, MSGTBL_LoadCmd, MSGTBL_DumpCmd, KIT_SCH_DEF_MSG_TBL_FILE_NAME);
TBLMGR_RegisterTblWithDef(TBLMGR_OBJ, SCHTBL_LoadCmd, SCHTBL_DumpCmd, KIT_SCH_DEF_SCH_TBL_FILE_NAME);
......

再回到KIT_SCH_AppMain函数中，这个函数接着进入一个loop，这个函数会不断调用函数SCHEDULER_Execute，而后者会依次执行KIT_SCH的调度表中定义的slot中的activity，主要操作就是发送activity对应的消息到软总线上，其他对应的应用程序收到该消息后，会执行对应的操作。所以解答本挑战题需要做的就是将KIT_SCH的消息表中的消息KIT_TO_SEND_FLAG_MID想办法插入KIT_SCH的调度表中，成为其中一个activity。

5．修改KIT_SCH的调度表的activity

上文已将解题思路分析清楚了，通过使用COSMOS发现，在指令发送窗口，当Target选择为KIT_SCH时，有一个指令是LOAD_SCH_ENTRY，如图6-12所示。将其中的MSG_TBL_IDX修改为在KIT_SCH的消息表cpu1_kit_sch_msg_tbl.json中找到的KIT_TO_SEND_FLAG_MID，即42，单击Send按钮。

图6-12 当Target选择为KIT_SCH，指令可以选择LOAD_SCH_ENTRY

查询Tlm Packets选项卡中的FLAG_TLM_PKT，如图6-13所示，单击对应的View in Packet Viewer按钮，会显示flag值，如图6-14所示。

图6-13 选择Tlm Packets选项卡中的FLAG_TLM_PKT

图6-14 显示收到的flag

# 网络安全 # CTF # 太空网络安全 # 太空安全 # 太空战

本文为独立观点，未经允许不得转载，授权请联系FreeBuf客服小蜜蜂，微信：freebee2022

被以下专辑收录，发现更多精彩内容

+ 收入我的专辑

+ 加入我的收藏

展开更多

题目介绍

编译及测试

相关背景知识

1．COSMOS

2．cFS

3．OpenSatKit