📚 课程目录第4章固件分析环境搭建

4. 固件分析环境搭建：虚拟机与Linux环境配置、IDA Pro与Ghidra安装、QEMU模拟器搭建、Binwalk与固件解包工具链

做固件逆向，第一件事不是拿二进制文件开干，而是先把你的「手术台」搭好。我见过太多人，工具链没配齐就开始分析，结果解包解不开、模拟跑不动、反汇编乱码，折腾半天发现是环境问题。嗯，这节课我们就来把这个台子彻底搭稳。

  核心原则： 所有逆向工具优先跑在 Linux 下（我推荐 Ubuntu 22.04 LTS）。Windows 版的 IDA 虽然能用，但 Binwalk、QEMU 这些原生 Linux 工具在 Windows 上会有各种坑。别跟自己过不去。

4.1 虚拟机与Linux环境配置

我个人习惯用 VMware Workstation Pro，当然 VirtualBox 也完全够用。分配资源时注意：

内存： 至少 8GB，建议 16GB。IDA 分析大固件时很吃内存。
CPU： 至少 4 核，开启 VT-x/AMD-V 虚拟化。
磁盘： 80GB 动态分配。固件解包后可能产生大量临时文件。

装完系统后，第一件事是换源并安装基础依赖包。我写了个一键脚本，省得每次重装环境都手敲：

#!/bin/bash
# 基础依赖安装脚本
sudo apt update && sudo apt upgrade -y
sudo apt install -y \
    build-essential \
    git \
    vim \
    curl \
    wget \
    python3-pip \
    python3-dev \
    libssl-dev \
    libffi-dev \
    zlib1g-dev \
    liblzma-dev \
    libbz2-dev \
    unzip \
    p7zip-full \
    qemu-user-static \
    qemu-system-arm \
    qemu-system-mips \
    qemu-system-aarch64 \
    binutils-arm-linux-gnueabihf \
    binutils-mipsel-linux-gnu \
    gcc-arm-linux-gnueabihf \
    gcc-mipsel-linux-gnu

避坑指南： 我曾经在 Ubuntu 20.04 上装 QEMU 时，默认源里的版本太老，导致模拟某些 MIPS 固件时崩溃。后来换成 22.04 才稳定。如果你必须用 20.04，建议从 QEMU 官网编译安装最新版。

4.2 IDA Pro 与 Ghidra 安装

这两款反汇编工具，我建议都装。IDA Pro 处理复杂控制流更顺手，Ghidra 免费且支持批量分析。它们不是二选一，而是互补。

4.2.1 IDA Pro 安装要点

下载 Linux 版安装包（ida-pro-xxx-linux.run）。
赋予执行权限：chmod +x ida-pro-xxx-linux.run
运行安装：./ida-pro-xxx-linux.run
安装路径建议：/opt/ida-pro/
配置 Python 插件路径：IDA 7.x 以上需要 Python 3，确保系统 Python 版本匹配。

装完后，记得把 IDA 的 idat64 命令行工具加入 PATH。我经常用它做批量反汇编：

export PATH=$PATH:/opt/ida-pro/
alias ida64='/opt/ida-pro/idat64'

4.2.2 Ghidra 安装与配置

Ghidra 依赖 Java 17+，安装步骤：

下载 JDK 17：sudo apt install openjdk-17-jdk
下载 Ghidra 压缩包，解压到 /opt/ghidra/
运行：/opt/ghidra/ghidraRun

注意： Ghidra 默认内存分配只有 2GB，分析大固件时会 OOM。修改 ghidraRun 脚本中的 MAXMEM 为 8G 或更高。

我个人习惯把 Ghidra 的 Headless Analyzer 也配好，这样可以在命令行批量跑分析脚本：

# 批量分析固件
/opt/ghidra/support/analyzeHeadless \
    /tmp/ghidra_projects \
    MyProject \
    -import ./firmware.bin \
    -postScript ./my_analysis.py \
    -deleteProject

4.3 QEMU 模拟器搭建

QEMU 是固件动态分析的灵魂。你想想看，没有硬件怎么跑固件？QEMU 就是那个「虚拟硬件」。

安装完成后，验证是否支持目标架构：

qemu-arm --version
qemu-mipsel --version
qemu-aarch64 --version

如果输出正常，说明用户态模拟可用。但真正跑固件需要系统态模拟，这里有个典型配置模板：

# 模拟 ARM 架构的 Debian 系统
qemu-system-arm \
    -M virt \
    -cpu cortex-a15 \
    -m 512M \
    -kernel vmlinuz-5.10.0-armmp \
    -initrd initrd.img-5.10.0-armmp \
    -drive file=debian-arm.img,format=raw \
    -append "root=/dev/vda1 console=ttyAMA0" \
    -nographic

经验之谈： 我在分析某款路由器固件时，发现它用了自定义的 GPIO 驱动。QEMU 默认没有这个外设，导致固件启动到一半就卡死。后来我用 QEMU 的 -device 参数挂载了一个模拟 GPIO 设备，才让固件跑起来。遇到外设依赖时，别慌，QEMU 的 device 模型很灵活。

对于固件动态调试，我常用这个组合：

场景	QEMU 模式	调试方式
分析单个二进制	用户态（qemu-arm）	GDB + QEMU 的 -g 参数
分析完整固件	系统态（qemu-system-arm）	QEMU monitor + GDB stub
分析内核模块	系统态 + 自定义 DTB	KGDB 双机调试

4.4 Binwalk 与固件解包工具链

Binwalk 是固件分析的瑞士军刀。但很多人装完就直接用，结果解包失败。其实问题往往出在依赖上。

正确安装方式：

# 从源码安装（pip 版本太旧）
git clone https://github.com/ReFirmLabs/binwalk.git
cd binwalk
sudo python3 setup.py install
sudo apt install -y \
    mtd-utils \
    gzip \
    bzip2 \
    tar \
    arj \
    lzop \
    lzma \
    lz4 \
    xz-utils \
    zstd \
    cramfsprogs \
    squashfs-tools \
    jefferson \
    ubi-utils

常见坑： 我曾经遇到一个固件，Binwalk 扫描时显示有 SquashFS 文件系统，但解包时报错。后来发现是缺少 squashfs-tools 和 jefferson（用于解压 LZMA 压缩的 SquashFS）。装完这两个依赖，问题解决。

解包流程我一般分三步走：

扫描： binwalk -Me firmware.bin（递归扫描并提取）
分析： binwalk -A firmware.bin（查看 CPU 架构和指令集）
手动提取： 如果自动提取失败，用 dd 命令按偏移量手动切割

举个例子，某次分析一个 16MB 的固件：

# 扫描结果
DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             uImage header, header size: 64 bytes
64            0x40            LZMA compressed data, properties: 0x5D
1310720       0x140000        SquashFS filesystem, little endian, version 4.0

# 手动提取 SquashFS
dd if=firmware.bin of=rootfs.squashfs bs=1 skip=1310720
unsquashfs rootfs.squashfs

  工具链总结：
  Binwalk： 固件扫描与自动提取
dd + unsquashfs： 手动提取文件系统
jefferson： 解压 LZMA 压缩的 SquashFS
ubi-utils： 处理 UBI/UBIFS 格式
mtd-utils： 处理 MTD 分区镜像

4.5 环境验证与知识体系

工具都装完后，我建议跑一个完整的验证流程：拿一个已知结构的固件（比如 OpenWrt 的固件），走一遍「扫描 → 解包 → 反汇编 → 模拟运行」的全链路。只有这条路通了，你才能放心开始真正的分析工作。

下面这张图是我自己整理的环境搭建知识体系，你可以对照检查：