1. 物联网设备固件分析基础

1.1 固件在物联网设备中的存储方式

物联网设备的固件存储主要分为集成式和分离式两种架构。集成式存储常见于功能简单的低功耗设备，比如智能传感器、基础版智能家居设备等。这类设备通常采用MCU（微控制器）方案，固件直接存储在芯片内部的Flash或EEPROM中。以STM32F103系列为例，其内部Flash容量从16KB到1MB不等，足够存储精简的嵌入式系统。

分离式存储则多见于运行Linux等完整操作系统的设备，比如智能摄像头、工业网关等。这类设备通常采用MPU（微处理器）+外部存储的方案。我最近分析的一款智能路由器，就采用了MT7628AN处理器搭配16MB SPI Flash的配置。外部存储又可分为NOR Flash（常用于存储bootloader）、NAND Flash（存储系统镜像）和eMMC（大容量存储）三种类型。

提示：识别存储类型时，可以观察芯片表面的标识。比如"25Q128"代表16MB的SPI NOR Flash，"K9F1G08"代表128MB的NAND Flash。

1.2 固件提取的常规方法

1.2.1 网络流量截取法

当设备进行OTA升级时，通过抓包可以获取固件下载链接。我常用的工具组合是：

• Wireshark进行流量捕获
• tcpdump过滤特定协议流量
• mitmproxy分析HTTPS流量

例如分析某品牌智能插座时，发现其使用HTTP明文下载固件：

tcpdump -i eth0 -w firmware.pcap 'host upgrade.iotvendor.com'

1.2.2 存储芯片直接读取

对于分离式存储的设备，通常需要：

1. 使用热风枪（建议温度320℃）拆焊存储芯片
2. 通过编程器读取内容
3. 用binwalk分析提取文件系统

常用工具：

• CH341A编程器（性价比高）
• Flashrom命令行工具
• Sigrok开源工具链

1.2.3 调试接口利用

UART接口是最常见的调试接口，识别方法：

1. 查找主板上的4针排针（通常为GND、TX、RX、VCC）
2. 用万用表测量电压（GND为0V，TX/RX通常3.3V）
3. 使用USB-TTL转换器连接，波特率常用115200

JTAG/SWD接口则需要：

• 识别Test Points（通常标记为TDI、TDO、TCK、TMS）
• 使用J-Link或ST-Link调试器
• OpenOCD进行底层访问

2. 固件逆向工程实战

2.1 固件解包与分析

拿到固件二进制后，首先使用binwalk进行初步分析：

binwalk -Me firmware.bin

常见文件系统类型及处理方法：

• Squashfs：使用unsquashfs解压
• Cramfs：使用cramfsck解压
• JFFS2：使用jffs2reader处理

对于加密固件，需要：

1. 分析升级流程寻找解密例程
2. 提取设备中的解密密钥
3. 使用IDA Pro逆向解密算法

2.2 隐藏接口发现技术

2.2.1 Web接口挖掘

使用定制化字典进行目录爆破：

import requests from concurrent.futures import ThreadPoolExecutor with open("iot_dirs.txt") as f: directories = [line.strip() for line in f] def check_dir(dir): url = f"http://192.168.1.1/{dir}" resp = requests.get(url) if resp.status_code == 200: print(f"Found: {url}") with ThreadPoolExecutor(20) as executor: executor.map(check_dir, directories)

2.2.2 串口隐藏命令

通过逆向分析固件中的CLI处理函数，常能发现未公开命令。例如某路由器固件中发现的隐藏命令：

# 开启Telnet服务 nvram set telnet_enable=1 nvram commit service telnet start

2.2.3 二进制后门分析

使用radare2分析可疑二进制：

r2 -AAA ./usr/bin/backdoor # 查找网络相关函数 /a call sym.imp.connect # 分析字符串引用 iz

3. 安全防护与加固方案

3.1 固件安全开发实践

3.1.1 安全编译选项

推荐的基础编译防护：

CFLAGS += -fstack-protector-strong -D_FORTIFY_SOURCE=2 LDFLAGS += -Wl,-z,now -Wl,-z,relro

针对嵌入式系统的额外防护：

• 启用MPU（内存保护单元）
• 设置堆栈不可执行
• 关键数据区写保护

3.1.2 安全启动实现

基于TrustZone的安全启动流程：

1. BootROM验证BL1签名
2. BL1验证BL2签名
3. BL2验证操作系统镜像
4. 逐级建立信任链

3.2 硬件防护措施

3.2.1 调试接口防护

• 生产时熔断JTAG/SWD熔丝
• 使用BGA封装隐藏引脚
• 在PCB上抹除调试接口丝印

3.2.2 安全存储方案

• 使用HSM（硬件安全模块）存储密钥
• 启用Flash加密（如ESP32的Flash加密）
• 关键数据使用OTP（一次性可编程）存储

4. 典型漏洞案例分析

4.1 硬编码凭证漏洞

某智能摄像头固件中的典型问题：

// 固件中的认证函数 int auth_user(char *user, char *pass) { return strcmp(user, "admin")==0 && strcmp(pass, "super@123")==0; }

防护方案：

• 首次启动强制修改默认密码
• 使用PBKDF2等算法处理密码
• 定期提醒更换密码

4.2 未授权访问漏洞

某工业网关的API接口未做鉴权：

@app.route('/reboot') def reboot(): os.system("reboot") return "OK"

修复方法：

• 添加JWT认证中间件
• 实现基于角色的访问控制
• 关键操作需要二次确认

5. 自动化分析工具链搭建

5.1 固件分析环境配置

推荐使用Docker构建统一环境：

FROM ubuntu:20.04 RUN apt-get update && apt-get install -y \ binwalk \ firmware-mod-kit \ qemu-user-static \ radare2 \ ghidra

5.2 自动化分析脚本示例

固件特征提取脚本：

import lief import hashlib def analyze_binary(path): binary = lief.parse(path) print(f"Arch: {binary.header.machine_type}") print(f"Entry: 0x{binary.entrypoint:x}") # 计算哈希值 with open(path, "rb") as f: sha256 = hashlib.sha256(f.read()).hexdigest() print(f"SHA256: {sha256}")

6. 法律与合规注意事项

6.1 授权测试要求

• 必须获得设备所有者书面授权
• 测试范围需明确界定
• 不得影响设备正常服务

6.2 漏洞披露流程

1. 确认漏洞真实性
2. 联系厂商并提交报告
3. 给予合理修复时间（通常90天）
4. 公开发布技术细节

我在实际项目中发现，很多物联网设备厂商缺乏专业的安全团队。建议发现漏洞后，提供详细的技术报告和修复建议，这能显著提高漏洞修复效率。对于关键基础设施设备，应当通过CERT等权威机构进行协调披露。