第1章固件安全概述

1. 固件安全概述

大家好，我是老李。在嵌入式安全这行摸爬滚打十几年，我见过太多因为固件安全问题导致设备被攻破的案例。今天咱们就来聊聊固件安全的基础知识。说实话，很多人觉得固件安全离自己很远，但等你真正遇到一次后门事件，就知道这玩意儿有多要命了。

先说说什么是固件。我个人习惯把固件理解为「硬件设备的操作系统」。它是一段固化在ROM、Flash等存储介质中的软件代码，负责初始化硬件、管理资源、提供基础服务。你想想看，从你家的智能路由器，到工厂里的PLC控制器，再到汽车里的ECU，里面都有固件在跑。

固件可以按几个维度来分类：

核心观点：固件是硬件和软件之间的桥梁。它一旦出问题，整个设备就废了。我在项目中遇到过一台工业路由器，因为固件中的缓冲区溢出漏洞，被黑客远程控制，成了僵尸网络的一员。嗯，那次教训很深刻。

搞安全的人都知道，没有威胁模型的安全分析就是瞎扯。固件安全威胁模型，说白了就是搞清楚「谁可能攻击你、从哪攻击、攻击后能造成什么后果」。

我一般把固件威胁分为三个层面：

供应链威胁：固件在开发、编译、打包、分发过程中被植入后门。我曾经见过一个案例，某厂商的固件编译服务器被入侵，攻击者在每次编译时自动插入一段恶意代码。这种攻击最难发现，因为代码来源是「官方」的。
存储与传输威胁：固件在Flash中存储时被篡改，或者在OTA升级过程中被中间人攻击替换。你想想看，如果升级包没有签名验证，任何人都可以伪造一个恶意固件让你刷进去。
运行时威胁：固件在运行过程中被利用漏洞提权、执行任意代码。比如经典的栈溢出、堆溢出、格式化字符串漏洞。这些漏洞一旦被利用，攻击者就能拿到设备的最高权限。

避坑指南：我曾经在分析一款智能门锁固件时，发现它的OTA升级包居然没有加密，只是做了简单的CRC校验。攻击者完全可以构造一个恶意固件包，让门锁自动下载并执行。嗯，这种低级错误在IoT设备里太常见了。

为了更直观地理解固件安全威胁，我画了一张图：

固件后门，说白了就是攻击者故意留在固件里的「秘密通道」。它可能是一段隐藏的代码、一个特殊的调试接口、一个硬编码的密码，或者一个看似无害但实际能执行任意命令的函数。

我见过最典型的后门类型有这些：

警告：固件后门的危害远超你的想象。它不像应用层漏洞那样容易被发现，一旦被植入，可以在设备生命周期内持续存在。我曾经分析过一款医疗设备固件，里面藏了一个硬编码的Telnet后门，攻击者可以远程控制输液泵。嗯，这种问题会出人命的。

做固件安全评估，不能凭感觉瞎猜。我们需要一套标准化的评估体系。我个人比较推荐以下几个维度：

静态分析：对固件进行反汇编、字符串提取、文件系统分析，寻找硬编码凭证、隐藏接口、可疑函数等。我习惯先用 binwalk 解包，再用 Ghidra 做深度逆向。
动态分析：在模拟环境或真实硬件上运行固件，监控系统调用、网络流量、文件操作等。QEMU 模拟 + GDB 调试是我常用的组合。
漏洞挖掘：通过模糊测试（Fuzzing）、代码审计、补丁对比等方式寻找安全漏洞。我曾经用 AFL 对一款路由器固件的 HTTP 解析模块做 Fuzzing，一天之内跑出了三个崩溃。
合规检查：检查固件是否符合相关安全标准，如 OWASP IoT Top 10、NIST SP 800-183、IEC 62443 等。

评估标准速查表：

个人经验：做固件安全评估，千万别只看表面。我曾经评估过一款摄像头固件，表面上看所有安全措施都做了——加密、签名、调试接口关闭。但我在逆向过程中发现，它的密钥居然是通过一个固定的随机数种子生成的。嗯，这种「伪安全」比没有安全更可怕。

最后说一句，固件安全评估不是一次性的工作。固件会更新，威胁会变化，评估也需要持续进行。我建议每发布一个新版本固件，至少做一次完整的安全评估。别等到出了事再后悔，那时候就晚了。

公众号:蓝海资料掘金营，微信deep3321