第28章固件逆向基础

课程目录第28章固件逆向基础

说实话，固件逆向是我个人觉得最有意思的领域之一。你想想看，一个路由器、一个智能插座、一台摄像头——这些设备里都藏着一个完整的操作系统。而我们今天要做的，就是把这些固件拆开，看看里面到底有什么。

我在做IoT安全评估时，经常遇到这样的场景：客户拿来一个设备，说「帮我看看有没有后门」。嗯，第一步就是拿固件开刀。今天这一章，我就带你走一遍固件逆向的完整流程。

固件，说白了就是「固化在硬件里的软件」。它不像你电脑上的程序可以随便删改，而是直接烧录在Flash、ROM这类非易失性存储器里的。

一个典型的固件包含三部分：

我遇到过最离谱的一次，一个路由器固件解包后，发现里面藏着一个完整的Python环境。你猜怎么着？攻击者就是利用这个环境执行了恶意脚本。所以，分析固件不只是技术活，更是安全审计的关键一步。

做逆向，首先得认识文件格式。我整理了一张表，方便你对照：

我个人习惯，拿到一个.bin文件，先用file命令看一眼。很多时候它直接告诉你「这是Linux内核」或者「这是gzip压缩数据」。别小看这一步，能省不少时间。

说到固件分析，binwalk是绕不开的神器。它就像一个「固件扫描仪」，能自动识别文件里嵌入的各种数据块。

基本用法很简单：

# 扫描固件中的文件签名
binwalk firmware.bin

# 自动提取所有识别到的文件
binwalk -e firmware.bin

# 递归提取（解包后再解包）
binwalk -Me firmware.bin

我曾经分析过一个TP-Link的路由器固件，binwalk扫出来一堆东西：

你看，一个固件里藏着这么多层。binwalk的-e参数会自动解压、解包，但有时候它也会漏掉一些自定义格式。这时候就得手动分析了。

小技巧： 如果binwalk提取不完整，试试binwalk -D 'type:offset:size'手动指定提取范围。我经常用这个方法处理那些「半加密」的固件。

固件解包后，你会得到一个目录树。里面通常有：

我一般会先看/etc/shadow或/etc/passwd，看看有没有硬编码的密码。有一次我找到一个设备，root密码直接写在脚本里——「admin:admin」。嗯，这种「安全设计」我见得太多了。

接下来是内核分析。解压出来的内核镜像（通常是vmlinux或zImage）可以用file命令确认架构：

file vmlinux
# 输出示例：vmlinux: ELF 32-bit MSB executable, MIPS, MIPS32 rel2 version 1

知道架构后，就可以用IDA Pro或Ghidra加载内核了。我个人更习惯用Ghidra，因为它免费，而且对MIPS、ARM的支持不错。

好，理论说完了，咱们来点实际的。假设你拿到了一个路由器固件，叫router_fw.bin。我会按以下步骤操作：

下面这张图，是我总结的固件逆向整体流程：

在实际操作中，我遇到过最头疼的情况是固件被加密了。厂商把整个固件用AES加密，binwalk扫出来全是乱码。这时候怎么办？

注意： 加密固件需要先找到解密密钥。密钥通常藏在Bootloader里，或者从UART串口输出中获取。我曾经花了两天时间，从一个智能灯泡的固件里逆向出AES密钥——过程很痛苦，但结果很爽。

最后，给你一个实战小清单。下次拿到固件，按这个来：

嗯，这一章的内容就到这里。固件逆向是个实践性很强的领域，光看不动手是学不会的。找个旧路由器，下载它的固件，自己拆一遍——相信我，拆完一个你就全明白了。

核心要点回顾：

第28章 固件逆向基础