第一章：课程导论与实验环境搭建

各位同学好，我是你们的讲师。咱们这门课叫《思科固件协议栈逆向与重放攻击实战》，名字挺长，但说白了就一件事——把思科设备里的固件拆开，看看它的网络协议是怎么跑的，然后想办法复现甚至篡改它的通信过程。

我做了十来年IoT安全，拆过的固件少说也有上百个。思科的东西，嗯，确实难啃。但正因为难，才值得花功夫。你想想看，全球骨干网里多少设备挂着思科的牌子？如果能掌握它的协议栈漏洞，那价值不言而喻。

1.1 为什么选思科固件？

我个人习惯，研究一个东西前先问自己：这玩意儿值不值得花时间？思科固件有几个特点，让它成为逆向工程的绝佳靶子：

• 闭源但可获取：固件更新包随便下，不像某些消费级设备藏着掖着
• 协议栈丰富：除了标准TCP/IP，还有一堆私有协议（CDP、DTP、VTP...）
• 架构多样：MIPS、ARM、PowerPC混着用，一个固件里可能打包了三种架构的二进制
• 漏洞价值高：一个思科路由器的RCE漏洞，在黑市上能卖到六位数

我在项目中遇到过最头疼的情况——某次分析思科交换机固件，解包出来发现文件系统是加密的。折腾了两天，最后发现密钥就硬编码在引导加载程序里。嗯，这种坑踩多了，经验也就攒出来了。

1.2 工具链概览

工欲善其事，必先利其器。咱们这门课主要用四把刀，我挨个说说它们的脾气：

工具	版本建议	核心用途	我的避坑建议
binwalk	≥2.3.3	固件解包、文件系统提取	别用pip装，源码编译更稳
Ghidra	≥11.0	反编译、协议逻辑分析	内存够就开64位模式
Wireshark	≥4.0	协议抓包、流量分析	记得装思科专用解析插件
scapy	≥2.5.0	构造/重放网络包	Python3.8以上兼容性更好

1.3 虚拟机环境搭建

咱们的实验环境，我推荐用Ubuntu 22.04 LTS。为什么？因为binwalk在Debian系上最省心，而且Ghidra的官方文档也是基于Ubuntu写的。

具体步骤我列一下，你照着来就行：

1. 安装基础依赖

   sudo apt update && sudo apt upgrade -y
   sudo apt install git build-essential liblzma-dev python3-pip -y

2. 编译安装binwalk

   git clone https://github.com/ReFirmLabs/binwalk.git
   cd binwalk
   sudo python3 setup.py install

   我曾经用pip直接装，结果解包某些思科固件时报错——缺少lzma支持。后来老老实实源码编译，再没出过问题。

3. 安装Ghidra

   去官网下载zip包，解压到/opt/目录：

   sudo unzip ghidra_11.0_PUBLIC_20231222.zip -d /opt/
   cd /opt/ghidra_11.0_PUBLIC
   ./ghidraRun

4. Wireshark + scapy

   sudo apt install wireshark -y
   sudo pip3 install scapy

1.4 知识体系一览

我把这门课的核心逻辑画了张图，你一看就明白咱们要干什么：

这张图说白了就是咱们的作战地图。从左到右，先拿到固件，然后拆开看里面有什么，接着找到协议处理代码，最后构造攻击包打回去。中间那个循环箭头是什么意思？——你逆向出来的协议逻辑对不对，得靠重放攻击来验证。验证失败就回去重新分析，直到能成功复现为止。

1.5 避坑指南

最后聊几个我踩过的坑，你提前知道能省不少时间：

• binwalk解包不完整：思科某些固件用了自定义的压缩算法，binwalk的默认签名库识别不出来。这时候需要手动分析文件头，我后面会专门讲怎么处理。
• Ghidra反编译卡死：如果你分析的是大型固件（比如Catalyst 9000系列的），建议把Ghidra的堆内存调到8GB以上。默认的4GB根本不够用。
• Wireshark抓不到思科协议：默认情况下Wireshark不会解析CDP、DTP这些协议。你需要去Preferences → Protocols → CDP，勾选「Try to decode CDP frames」。嗯，这个选项藏得挺深，我第一次找了好久。
• scapy发包没响应：检查一下目标设备的MAC地址过滤。思科交换机默认会丢弃源MAC不是直连端口的CDP包。解决办法是用scapy伪造源MAC。

好了，第一章就到这里。工具装好、环境跑通之后，咱们第二章就开始真刀真枪地拆固件了。

---

公众号:蓝海资料掘金营，微信deep3321