2. OTA基础与产业背景

协议逆向工程，说白了就是“拆解黑盒”。

你拿到一个未知的通信协议，没有文档，没有源码，只有一堆二进制数据在网络上飞来飞去。怎么搞清楚它的握手流程？怎么知道哪个字段是长度、哪个是校验？这就是协议逆向工程要干的事。

我早年做工控协议分析时，遇到过一套老旧的 PLC 通信系统，厂商早已倒闭。设备还在跑，但协议细节没人知道。没办法，只能靠逆向工程一点一点把协议“抠”出来。那段经历让我深刻理解了一个道理：没有逆向能力，安全分析就是纸上谈兵。

协议逆向工程的概念与目的

协议逆向工程，是指在不依赖协议规范文档的前提下，通过分析协议的实现（二进制程序、网络流量等），还原出协议的数据格式、状态机、交互流程。

它的核心目的有三个：

• 漏洞挖掘：只有理解了协议细节，才能找到解析器中的缓冲区溢出、逻辑缺陷。
• 互操作性测试：验证设备是否严格遵循协议规范，是否存在实现偏差。
• 协议复现与模拟：为没有文档的遗留系统编写兼容的客户端或服务端。

静态分析：从二进制和文档入手

静态分析，就是不运行程序，直接分析它的“尸体”。

二进制解析

拿到一个协议的实现程序（比如 .so 动态库、固件镜像），用反汇编工具看它的代码逻辑。重点关注：

• 字符串引用：协议中的命令字、错误码、版本号往往以字符串形式存在。
• 数据结构定义：结构体成员的偏移量、大小，直接反映了协议字段的布局。
• 校验算法：CRC、MD5 等校验函数的调用点，能帮你定位校验字段。

我常用的工具是 Binwalk，专门用来分析固件。它能快速识别出固件中的文件系统、压缩包、甚至 Bootloader。

# 扫描固件中的文件系统
binwalk -Me firmware.bin

# 提取特定偏移的数据
binwalk -D 'png:image:png' firmware.bin

规范文档分析

如果有协议规范文档（RFC、行业标准），别急着高兴——文档和实现往往有出入。

我习惯把文档中的字段定义、状态转换图、消息序列整理成表格，然后对照抓包数据逐条验证。你会发现，很多实现会“偷懒”：比如文档要求 4 字节对齐，实际代码可能只做了 2 字节对齐。

分析维度	文档分析	二进制分析
数据来源	RFC、行业标准、厂商手册	可执行文件、动态库、固件
分析重点	字段定义、状态机、交互流程	数据结构、校验算法、字符串表
优势	宏观理解，快速建立知识框架	微观细节，发现实现偏差
局限	文档可能过时或缺失	分析成本高，依赖逆向经验

动态分析：让协议“跑起来”看

静态分析只能看到“静态”的代码，但协议是活的——它有状态、有交互、有超时重传。动态分析就是让协议跑起来，在运行时观察它的行为。

流量捕获

用 Wireshark 抓包是最直接的方式。但要注意：

• 过滤干扰流量：只保留目标协议的端口或 IP。
• 关注握手阶段：很多协议的认证、协商逻辑都在连接建立时完成。
• 对比正常与异常流量：发送畸形数据包，观察协议如何响应。

我曾经分析一个私有协议，抓了 2 小时包，发现它每隔 30 秒发一个心跳包。心跳包的结构很简单：固定魔数 + 时间戳 + 设备 ID。但正是这个“简单”的心跳，让我找到了一个重放攻击漏洞。

协议状态机推断

协议状态机描述了协议在不同阶段的行为。比如 TCP 有 LISTEN、SYN_SENT、ESTABLISHED 等状态。

推断状态机的方法：

1. 记录所有消息序列：客户端发什么，服务端回什么。
2. 标记状态转换点：收到特定消息后，协议的行为是否改变。
3. 构建状态转换图：用节点表示状态，用边表示消息。

这里我推荐用 Scapy 来做自动化分析。Scapy 不仅能构造和发送数据包，还能记录会话状态。

# 用 Scapy 捕获并解析自定义协议
from scapy.all import *

def parse_custom_proto(pkt):
    if pkt.haslayer(Raw):
        payload = pkt[Raw].load
        # 假设前 4 字节是魔数
        magic = payload[:4]
        if magic == b'\xde\xad\xbe\xef':
            print(f"捕获到自定义协议包，长度: {len(payload)}")

sniff(prn=parse_custom_proto, filter="udp port 12345", count=100)

常用工具介绍

工欲善其事，必先利其器。下面这三个工具是我做协议逆向时的“三件套”。

工具	核心功能	适用场景	我的使用习惯
Wireshark	流量捕获、协议解析、统计	网络层、传输层、应用层协议分析	先用 Wireshark 看宏观流量，再用过滤缩小范围
Scapy	数据包构造、发送、会话管理	协议模糊测试、状态机推断、自动化分析	写 Python 脚本批量测试，比 Wireshark 灵活
Binwalk	固件分析、文件提取、熵计算	嵌入式设备、IoT 协议逆向	配合 hexdump 和 IDA Pro 一起用

这三个工具各有侧重，但组合起来威力巨大。我通常的工作流是：

1. 用 Wireshark 抓包，初步了解协议的消息类型和交互节奏。
2. 用 Scapy 构造畸形数据包，测试协议的健壮性。
3. 如果涉及固件，用 Binwalk 提取文件系统，找到协议实现的二进制模块。

协议逆向知识体系

下面这张图概括了协议逆向工程的核心流程和方法论。你可以把它当作一个“路线图”，在实际项目中按图索骥。

这张图把协议逆向工程拆成了“静态分析”和“动态分析”两条主线，下面挂载了各自的方法和工具。你实际做项目时，可以沿着这个结构往下走：先静态看代码和文档，再动态抓包和测试，最后用工具把结果固化下来。