4. Bootloader 原理与设计

做固件逆向，环境搭不好，后面全是坑。我见过太多人拿着 Binwalk 跑完就以为完事了，结果连 Flash 都读不全。今天咱们把家底翻一翻，从硬件到软件，把分析环境捋清楚。

4.1 硬件工具：你得先能“摸”到固件

软件分析再牛，也得先把固件从芯片里弄出来。硬件工具就是干这个的。

4.1.1 逻辑分析仪

这东西用来抓 SPI、I2C、UART 这些串行总线的时序。我习惯用 Saleae Logic 系列，便宜又好用。你想想看，固件升级时，芯片和 Flash 之间在传什么数据？逻辑分析仪一抓，地址、指令、数据全现形。

4.1.2 示波器

逻辑分析仪看“0”和“1”，示波器看“波形好不好”。遇到信号反射、电平漂移，示波器一照就明白。我个人习惯用 Rigol DS1054Z，千元级够用了。调试 Bootloader 时，量一下复位引脚的上升沿，能省半天排查时间。

4.1.3 编程器

这是硬核手段。当芯片锁死、固件加密、在线读不出来时，就得把 Flash 吹下来，上编程器硬读。

• CH341A： 便宜，支持 25 系列 SPI Flash，速度慢但够用。
• TL866II Plus： 支持更多型号，还能测芯片好坏。
• RT809H： 专业级，支持在线 ISP 和离线编程，我修砖时全靠它。

4.2 软件工具：分析固件的“手术刀”

硬件把固件“捞”出来，软件负责“解剖”。下面这几把刀，你得都备着。

4.2.1 Binwalk —— 固件“拆包器”

Binwalk 能自动识别固件里的文件系统、压缩包、Bootloader。我拿到一个陌生固件，第一件事就是跑 binwalk -Me firmware.bin。

# 基本用法
binwalk firmware.bin

# 递归提取
binwalk -Me firmware.bin

# 只扫描已知签名
binwalk -B firmware.bin

为什么先跑 Binwalk？因为它能告诉你固件里有没有 SquashFS、CramFS、LZMA 压缩块。有一次我分析一个路由器固件，Binwalk 直接吐出了完整的文件系统，省了我三天手工分析。

4.2.2 Ghidra —— 免费的反编译利器

NSA 开源的 Ghidra，对 ARM、MIPS、RISC-V 支持极好。我习惯用它做静态分析，尤其是找字符串和交叉引用。

• 优势： 免费、更新快、支持脚本（Python/Java）。
• 劣势： 启动慢，对大型固件有点卡。
• 我的用法： 先用 Ghidra 分析 Bootloader，定位升级函数入口。

4.2.3 IDA Pro —— 老牌王者

IDA Pro 贵，但值。它的 F5 反编译在 x86 和 ARM 上比 Ghidra 准。我只有在遇到混淆严重的代码时，才掏 IDA。

4.2.4 QEMU —— 跑起来再说

静态分析看不出来的逻辑，扔进 QEMU 跑一遍就懂了。我经常用 QEMU 模拟 ARM 或 MIPS 的固件，配合 GDB 单步调试。

# 模拟 ARM 架构的 Debian 系统
qemu-system-arm -M virt -kernel vmlinuz -initrd initrd.img \
  -append "root=/dev/ram console=ttyAMA0" -nographic

# 用户态模拟单个二进制
qemu-arm -g 1234 ./vuln_binary

4.3 虚拟机与沙箱配置

分析固件时，你可能会触发恶意代码。我建议在隔离环境里操作。

4.3.1 虚拟机选择

• VMware Workstation： 稳定，快照功能好用。
• VirtualBox： 免费，适合学生。
• KVM/QEMU： Linux 原生，性能好。

我个人习惯用 VMware，装一个 Ubuntu 22.04 LTS，分配 8GB 内存和 4 核 CPU。快照在分析前后各打一个，出问题直接回滚。

4.3.2 沙箱配置

沙箱比虚拟机更轻量，适合跑单个二进制。我常用 Firejail 或 Docker。

# Firejail 限制网络和文件系统
firejail --net=none --private=/tmp/sandbox ./firmware_upgrader

# Docker 隔离环境
docker run -it --rm -v $(pwd):/firmware ubuntu:22.04 /bin/bash

4.4 知识体系总览

下面这张图，把硬件和软件工具的关系串起来了。你照着这个流程走，基本不会漏。

4.5 我的推荐配置清单

如果你刚入门，照着下面这个清单买，不会走弯路。