4、固件获取方法：芯片拆解、编程器读取、OTA抓包、调试接口（JTAG/SWD）提取
固件获取是嵌入式逆向分析的第一步，也是决定后续分析深度与成败的关键环节。在实际工程中，并非所有设备都提供便捷的固件升级通道，也并非所有芯片都开放调试端口。因此，掌握多种固件获取手段，并能够根据目标设备的硬件架构、封装形式、安全策略和成本约束选择最合适的提取路径，是每一位固件逆向工程师的核心基本功。本章将系统讲解四种主流固件获取方法：芯片拆解与编程器读取、OTA（Over-The-Air）升级抓包、JTAG/SWD调试接口提取，以及它们各自的适用场景、操作流程、技术难点与风险控制。
上图展示了固件获取的整体决策链路。实际工作中，我们通常优先尝试非侵入式方法（如OTA抓包、调试接口），再考虑半侵入式（编程器读取），最后才采用具有破坏性的芯片拆解。下面逐一深入剖析每种方法的核心原理、操作流程与实战要点。
4.1 芯片拆解与编程器读取
4.1.1 核心原理
芯片拆解与编程器读取属于物理级固件提取技术。其核心思想是绕过CPU和操作系统的限制，直接对存储介质（Flash芯片）进行底层读写。常见的存储介质包括SPI NOR Flash、SPI NAND Flash、并行NOR Flash、eMMC芯片以及SD卡等。编程器（Programmer）通过专用的烧录座或飞线连接这些芯片的引脚，使用特定的通信协议（如SPI、ONFI、eMMC协议）读取存储阵列中的原始数据。
芯片拆解通常发生在两种场景：一是芯片直接裸露在PCB上，可以通过夹子或烧录座直接连接；二是芯片为BGA封装或处于安全屏蔽罩内，需要先进行物理拆卸。对于BGA封装的芯片，需要借助热风枪或红外返修台进行拆焊，拆下后还需处理焊球（植球）才能放入编程器适配座。
4.1.2 操作流程与判断方法
| 步骤 | 操作内容 | 关键工具/参数 | 注意事项 |
|---|---|---|---|
| 1. 目标识别 | 确认Flash芯片型号、封装、引脚定义 | 放大镜、芯片丝印、数据手册 | 丝印可能被打磨，需通过周边电路判断 |
| 2. 连接方式选择 | 烧录夹 / 飞线 / 拆焊后适配座 | 烧录夹（SOP8/SOP16）、编程器（RT809H、TL866II Plus） | 烧录夹需断电操作，飞线尽量短 |
| 3. 读取操作 | 识别芯片ID，选择对应型号，执行读取 | 编程器软件，读取速度设置 | 先备份原始固件，再执行其他操作 |
| 4. 数据校验 | 对比两次读取的哈希值（MD5/SHA256） | HashCalc、sha256sum | 若哈希不一致，检查接触是否良好 |
4.1.3 案例拆解：从智能路由器提取SPI Flash固件
某品牌智能路由器无法通过Web后台升级固件，且串口无输出。初步判断固件存储于板载SPI NOR Flash（型号Winbond W25Q128FV，16MB）。由于Flash为SOP-8封装，直接使用烧录夹连接。
操作过程：
- 断开路由器电源，移除PCB板，找到U7位置的W25Q128FV芯片。
- 将烧录夹红色边对准芯片Pin1（通常有圆点标记），夹紧后连接编程器。
- 打开编程器软件，选择“W25Q128FV”，点击“读出”按钮，读取速度设为“慢速”以保证稳定性。
- 读取完成后，保存为
router_backup.bin，并再次读取一次，计算两次SHA256值进行比对。 - 确认一致后，使用
binwalk扫描固件结构，成功提取出Squashfs文件系统，进而获取到Web管理后台的加密口令哈希。
此案例中，由于Flash未启用写保护且未加密，编程器读取是最直接有效的方案。整个过程耗时约10分钟，风险极低。
4.1.4 常见误区与总结
风险提示：切勿在设备通电状态下连接或断开烧录夹，否则极易造成Flash芯片损坏或数据丢失。对于BGA封装的eMMC芯片，拆焊温度曲线控制不当会导致焊盘脱落或内部晶圆受损。
常见误区包括：忽视芯片的电压域（3.3V vs 1.8V），导致编程器无法识别；未先读取原厂固件就直接擦除，造成不可逆损失；对于NAND Flash，忽略坏块管理机制，导致读取的镜像在后续分析时文件系统损坏。总结而言，编程器读取适合无安全保护或保护级别较低的设备，操作前务必做好静电防护和数据备份。
4.2 OTA升级抓包与固件提取
4.2.1 核心原理
OTA（Over-The-Air）升级是物联网设备普遍采用的固件更新方式。其原理是设备通过HTTP/HTTPS协议从远程服务器下载固件包，然后进行校验、解密（可选）和写入Flash。抓包获取固件的核心在于截获设备与服务器之间的通信流量，从中还原出固件文件。对于明文HTTP传输，直接使用Wireshark或tcpdump即可提取；对于HTTPS加密流量，则需要通过中间人代理（如Burp Suite、mitmproxy）或提取设备内置的根证书来实现解密。
4.2.2 操作流程与判断方法
- 网络环境搭建：将目标设备与攻击机接入同一局域网，配置网关指向攻击机，或使用无线热点进行流量转发。
- 流量捕获：在攻击机上启动Wireshark抓取所有HTTP/HTTPS流量，或使用
tcpdump -i eth0 -w ota.pcap保存原始数据包。 - 触发升级：在设备管理界面点击“检查更新”或“立即升级”，观察流量变化。
- 固件提取：在Wireshark中过滤
http或tcp contains "firmware"，找到固件下载请求，右键“导出对象”保存固件文件。 - HTTPS解密：若流量为HTTPS，需在设备上安装mitmproxy的CA证书，或通过SSLKEYLOGFILE环境变量配合Firefox/Chrome解密。
经验技巧：部分设备会先请求一个JSON/XML元数据文件，其中包含固件下载URL、版本号、MD5校验值。优先解析该元数据，可快速定位固件地址。另外，注意观察固件包是否加密，若为加密包，需进一步分析解密逻辑（通常密钥硬编码在Bootloader或主程序中）。
4.2.3 案例拆解：智能摄像头固件抓包分析
某智能摄像头固件版本陈旧，存在已知漏洞，但厂商已停止维护。为了获取最新固件进行漏洞对比，采用OTA抓包方式。摄像头通过HTTPS下载固件，且未校验服务器证书。
实施步骤：
- 在攻击机（IP: 192.168.1.100）上运行
mitmproxy --listen-port 8080，并开启透明代理模式。 - 将摄像头网络设置中的网关和DNS指向攻击机，确保流量经过代理。
- 在摄像头APP中触发升级，mitmproxy捕获到对
https://update.iot-cloud.com/v1/device/firmware的GET请求。 - 响应体为二进制流，通过
Content-Length判断大小约12MB。使用mitmproxy的导出功能保存为camera_fw.bin。 - 对固件执行
binwalk扫描，发现包含LZMA压缩内核和Cramfs文件系统，成功解包并提取到新的漏洞利用目标。
该案例中，由于设备未启用证书固定（Certificate Pinning），中间人攻击得以成功。若设备校验证书，则需进一步提取设备内置的根证书或私钥，难度显著增加。
4.2.4 常见误区与总结
风险提示：在真实网络环境中进行中间人攻击可能违反法律法规，务必在获得授权的测试环境中进行。另外，抓包获取的固件可能经过加密或签名，直接分析无法获得有效信息，需结合Bootloader代码进行解密分析。
常见误区包括：只关注HTTP流量而忽略DNS解析记录（可能指向CDN域名）；未过滤ARP广播导致抓包文件过大；忽略固件包的分片传输（Chunked Transfer Encoding）导致导出文件不完整。总结而言，OTA抓包是一种低成本、非侵入式的获取方法，但受限于加密和证书校验机制，成功率并非100%。
4.3 调试接口（JTAG/SWD）提取
4.3.1 核心原理
JTAG（Joint Test Action Group）和SWD（Serial Wire Debug）是嵌入式处理器常用的调试接口。JTAG基于IEEE 1149.1标准，通过TDI、TDO、TCK、TMS四根信号线实现边界扫描和内部寄存器访问；SWD是ARM Cortex-M系列处理器特有的两线调试接口（SWDIO、SWCLK），占用引脚更少。通过调试接口，攻击者可以直接访问CPU内核、内存映射和外设寄存器，从而读取Flash内容、下载固件或实时修改运行状态。
利用调试接口提取固件的前提是：目标芯片的调试功能未被禁用（如JTAG保险丝熔断、Security Bit置位），且PCB上预留了调试接口的测试点或排针。
4.3.2 操作流程与判断方法
| 调试接口类型 | 引脚定义 | 常用调试器 | 适用处理器 |
|---|---|---|---|
| JTAG (20-pin标准) | TCK, TMS, TDI, TDO, VCC, GND, nSRST | J-Link, OpenOCD + FT2232H | ARM7/9/11, Cortex-A/R, MIPS, RISC-V |
| SWD (2-wire) | SWDIO, SWCLK, GND, VCC | J-Link, ST-Link, DAPLink | Cortex-M0/M3/M4/M7/M33 |
| cJTAG (1-wire) | TCK, TMS (复用) | J-Link (支持cJTAG) | 低引脚数MCU |
操作流程：
- 接口定位：通过PCB走线、原理图分析或查阅芯片数据手册，找到调试接口的物理位置。常见于板边排针、圆形测试点或隐藏焊盘。
- 连接调试器：使用杜邦线或飞线将调试器与目标板连接，注意电平匹配（1.8V/3.3V/5V）。
- 识别内核：在OpenOCD或J-Link软件中配置目标芯片型号，执行
scan_chain或connect命令。 - 读取固件：通过调试器脚本将Flash内容导出为二进制文件。例如使用J-Link Commander命令：
savebin C:\dump.bin 0x08000000 0x100000。 - 验证完整性：对比读取结果与已知固件哈希，或检查向量表是否合理。
4.3.3 案例拆解：从智能门锁MCU中提取固件
某智能门锁主控为STM32F103C8T6（Cortex-M3内核），Flash容量64KB。设备无OTA功能，且固件未加密。通过SWD接口提取固件。
实施过程：
- 拆开门锁外壳，在PCB背面发现4个裸露的圆形测试点，丝印标注为SWDIO、SWCLK、3V3、GND。
- 使用ST-Link调试器，通过杜邦线连接对应测试点。
- 打开STM32CubeProgrammer，选择“UART”或“ST-LINK”模式，连接目标板。软件识别出芯片ID为0x410，确认连接成功。
- 在“Memory and File”界面，设置起始地址
0x08000000，大小0x10000（64KB），点击“Read”按钮，保存为doorlock_fw.bin。 - 使用
strings命令提取固件中的可打印字符串，发现管理员密码硬编码在偏移0x2A10处。
该案例中，由于芯片未设置读保护（RDP Level 0），SWD接口直接暴露，固件提取几乎零成本。若芯片设置了RDP Level 1，则无法通过调试接口读取Flash，但可通过降级攻击（如利用Bootloader漏洞）或物理破解（如激光切割）绕过。
4.3.4 常见误区与总结
风险提示：连接调试接口时，务必确认目标板与调试器的电平域一致，否则可能烧毁MCU的IO口。另外，在读取过程中不要复位目标板，否则可能导致调试会话中断。
常见误区包括：误将UART TX/RX当作SWDIO/SWCLK；忽略目标板的电源隔离导致调试器供电冲突；在芯片加密状态下反复尝试连接，可能触发硬件保护机制导致芯片永久锁定。总结而言，JTAG/SWD提取是效率最高、信息最丰富的获取方式，但受限于安全位和接口可用性。
4.4 方法对比与选型决策
| 方法 | 侵入性 | 成本 | 成功率 | 适用场景 | 主要风险 |
|---|---|---|---|---|---|
| 芯片拆解+编程器 | 高（物理破坏） | 中（设备损坏风险） | 高（无加密时） | Flash独立封装、无安全位 | 焊盘损坏、数据丢失 |
| OTA抓包 | 无 | 低 | 中（受加密影响） | 支持网络升级的设备 | 法律风险、证书固定 |
| JTAG/SWD调试 | 低（仅电气连接） | 低 | 高（未锁定时） | MCU/MPU带调试接口 | 电平不匹配、安全位锁定 |
在实际项目中，建议按照“先软后硬、先易后难”的原则进行尝试。首先检查是否存在调试接口，其次尝试OTA抓包，再次考虑编程器读取，最后才进行芯片拆解。同时，应结合固件是否加密、Bootloader是否锁定等因素综合评估。无论采用哪种方法，获取固件后都应立即计算哈希值并妥善备份，确保后续分析的准确性和可追溯性。