一、固件安全概述

什么是固件

固件这东西，说白了就是「嵌入在硬件里的软件」。你想想看，你的路由器、智能摄像头、甚至你家的电饭煲，里面都跑着固件。它不像 Windows 或 Linux 那样装在硬盘上，而是直接烧录在 Flash、ROM 这类存储芯片里。

我个人习惯把固件理解成「硬件和软件之间的桥梁」。它负责告诉芯片：上电后先做什么、怎么初始化外设、怎么处理网络数据包。没有固件，你的设备就是一坨废铁。

从技术角度看，固件通常包含：

• Bootloader：引导程序，负责初始化硬件并加载操作系统
• 内核：通常是裁剪过的 Linux 内核或 RTOS
• 文件系统：存放应用程序、配置文件和库文件
• 配置数据：WiFi 密码、设备密钥等敏感信息

固件安全的重要性

为什么我们要关心固件安全？我给你讲个真实案例。

几年前我参与过一个 IoT 设备的安全评估。那是一个智能门锁，外观看着挺高级。结果呢？我花了两天时间，从固件里直接提取出了 WiFi 密码和云平台 API 密钥。更离谱的是，它的 OTA 更新没有签名校验——我完全可以伪造一个恶意固件推送过去，门锁就成我的了。

固件一旦被攻破，后果往往是灾难性的：

• 设备完全失控：攻击者可以远程执行任意代码
• 数据泄露：摄像头画面、用户密码、业务数据全部暴露
• 横向渗透：被攻陷的设备成为跳板，攻击内网其他系统
• 供应链污染：恶意固件通过 OTA 扩散到成千上万台设备

常见固件漏洞类型

1. 缓冲区溢出

这是固件漏洞里的「老熟人」了。说白了就是程序往缓冲区里写数据时，没检查长度，结果数据溢出了，覆盖了相邻的内存区域。

在固件里，缓冲区溢出尤其常见于：

• HTTP 请求处理（比如 CGI 脚本）
• 网络协议解析（UPnP、DHCP 等）
• 命令行参数解析

看个简单的例子：

// 一个典型的缓冲区溢出漏洞
void handle_request(char *input) {
    char buffer[64];
    strcpy(buffer, input);  // 没有长度检查！
    // 处理请求...
}

攻击者只要传入超过 64 字节的输入，就能覆盖返回地址，控制程序执行流程。我在分析某款家用路由器时，就遇到过一模一样的漏洞——它的 UPnP 处理函数直接用 sprintf 拼接字符串，连长度都不检查。

2. 命令注入

这个漏洞更直接。程序把用户输入拼接到系统命令里，然后执行。如果输入里带了特殊字符，比如 ; rm -rf /，那后果你懂的。

常见场景：

• Web 管理界面的 ping/traceroute 功能
• 固件升级时的文件名处理
• 日志记录功能

// 命令注入漏洞示例
void ping_host(char *ip) {
    char cmd[128];
    sprintf(cmd, "ping -c 4 %s", ip);  // 直接拼接用户输入
    system(cmd);
}

攻击者输入 127.0.0.1; cat /etc/shadow，就能把密码文件内容打出来。嗯，这种漏洞在 IoT 设备里简直多如牛毛。

3. 硬编码凭据

这个最让人头疼。厂商为了方便调试或维护，直接在固件里写死了用户名和密码。更可怕的是，这些凭据往往在所有设备上都一样。

我见过最离谱的案例：某安防摄像头厂商在固件里硬编码了 SSH 私钥，而且这个私钥还公开在 GitHub 上。你想想看，全球几十万台摄像头，只要连上网络，谁都能用这个私钥登录进去。

漏洞类型	危害等级	常见位置	修复难度
缓冲区溢出	高	网络协议处理、CGI	中
命令注入	高	Web 管理界面、系统调用	低
硬编码凭据	极高	配置文件、二进制数据	高

固件安全分析流程

做固件安全分析，我一般按这个流程走。这不是什么标准流程，是我自己踩了无数坑之后总结出来的：

1. 固件获取：从官网下载、从设备提取、或者从 OTA 更新包中抓取
2. 固件解包：用 binwalk、firmware-mod-kit 等工具解压文件系统
3. 静态分析：搜索硬编码凭据、检查文件权限、分析启动脚本
4. 动态分析：用 QEMU 模拟运行、调试网络服务、测试输入点
5. 漏洞验证：构造 PoC、确认漏洞可利用性
6. 补丁分析：对比新旧固件、定位修复代码、理解补丁逻辑

我刚开始做固件分析时，总喜欢一上来就反汇编、看代码。后来发现效率太低。正确的做法是：先跑一遍自动化工具，把明显的漏洞筛出来，再针对性地做深度分析。

好了，这一章的内容就到这里。固件安全是个大话题，后面我们会一步步深入。记住一句话：固件是设备的灵魂，保护好它，你的设备才真正安全。