1、课程导入：学习目标、课程大纲、所需工具与环境搭建、安全与法律合规说明
嵌入式固件分析是硬件安全研究、漏洞挖掘、产品逆向与供应链审计中的核心能力。固件作为硬件设备的“灵魂”，承载了设备的功能逻辑、通信协议、密钥证书与调试接口。本课程面向具备一定嵌入式基础或软件逆向基础的安全工程师、固件开发人员与硬件爱好者，系统讲解从固件获取、文件系统解包、架构识别、代码逆向到漏洞验证的完整链路。本章作为课程起点，将明确学习目标、展示课程全景、搭建实验环境，并重点强调安全与法律边界——这是所有后续技术动作的前提。
1.1 学习目标：从“拿到固件”到“掌控设备”
本课程的核心目标不是让学员机械地执行几条命令，而是建立一套完整的固件逆向思维框架。学完本课程后，学员应当具备以下能力：第一，能够通过多种物理或逻辑途径获取目标固件，并判断固件的完整性、加密状态与架构类型；第二，能够熟练使用binwalk、Ghidra、QEMU等工具完成固件解包、文件系统提取、代码逆向与动态调试；第三，能够识别常见漏洞模式（如栈溢出、命令注入、硬编码凭据），并输出可复现的验证报告；第四，能够理解固件签名、安全启动、TrustZone等防护机制，并知道在合规前提下如何评估其强度。
课程特别强调“实战导向”。每一章都会配套一个可操作的实验案例，例如从一台老旧路由器中提取固件、分析其Web管理界面的命令注入漏洞，或者从智能家居设备中提取加密密钥。这些案例均基于真实设备，但实验环境完全隔离，确保安全可控。学员需要动手完成从硬件连接到漏洞验证的全过程，而不是只看演示。
1.2 课程大纲：30章递进式学习路径
课程分为六大模块，共30章，从基础到进阶逐步深入。模块一（第1-5章）为固件获取与预处理，涵盖芯片直读、串口通信、固件结构分析等；模块二（第6-10章）为文件系统与架构分析，包括SquashFS、JFFS2、CramFS等常见文件系统的提取与解析，以及ARM、MIPS、RISC-V等架构的识别方法；模块三（第11-15章）为静态逆向技术，使用Ghidra和IDA进行反汇编、函数识别、伪代码生成与加密算法定位；模块四（第16-20章）为动态调试与模拟，涉及QEMU系统级模拟、用户态模拟、GDB远程调试以及硬件调试器（JTAG/SWD）的使用；模块五（第21-25章）为漏洞挖掘与利用，覆盖栈溢出、堆溢出、格式化字符串、命令注入、逻辑漏洞等常见类型，并讲解如何编写PoC；模块六（第26-30章）为高级防护绕过与综合实战，包括安全启动绕过、固件签名伪造、硬件故障注入入门以及一个完整的智能设备渗透测试项目。
| 模块 | 章节范围 | 核心主题 | 关键技能 |
|---|---|---|---|
| 一、固件获取 | 1-5 | 芯片直读、串口、OTA抓包 | SPI Flash编程器、UART调试、Wireshark过滤 |
| 二、文件系统与架构 | 6-10 | SquashFS/JFFS2、ARM/MIPS | binwalk、sasquatch、readelf、objdump |
| 三、静态逆向 | 11-15 | Ghidra/IDA、加密算法识别 | 反汇编、函数签名、FindCrypt |
| 四、动态调试 | 16-20 | QEMU模拟、GDB、JTAG | 系统模拟、断点调试、寄存器分析 |
| 五、漏洞挖掘 | 21-25 | 内存破坏、命令注入 | Fuzzing、PoC编写、补丁对比 |
| 六、高级实战 | 26-30 | 安全启动绕过、综合渗透 | 故障注入、签名伪造、报告撰写 |
1.3 所需工具与环境搭建
工欲善其事，必先利其器。固件逆向涉及硬件、软件、网络多个层面，工具链的完整性直接影响实验效率。我们推荐使用Ubuntu 22.04 LTS作为主操作系统，因为它对开源工具支持最好，且驱动兼容性佳。如果学员使用Windows或macOS，建议通过VMware或VirtualBox安装虚拟机，并分配至少4GB内存和60GB磁盘空间。硬件方面，必备的工具包括：USB转TTL串口模块（如CP2102）、逻辑分析仪（如Saleae Logic 8）、SPI Flash编程器（如CH341A）、以及一块可折腾的开发板（如ESP32、树莓派或旧路由器）。
软件环境的搭建建议按以下顺序进行：首先更新系统并安装基础依赖（build-essential、git、python3-pip等）；然后安装binwalk及其依赖（包括sasquatch、jefferson、ubi_reader等文件系统解析工具）；接着安装Ghidra（要求Java 17+）和IDA Free（可选）；再安装QEMU全套模拟器；最后配置OpenOCD和GDB-multiarch用于硬件调试。为了便于管理，建议使用Docker容器封装部分工具，例如运行binwalk或QEMU的镜像，避免污染主机环境。
# 基础依赖安装（Ubuntu 22.04）
sudo apt update && sudo apt install -y build-essential git python3-pip python3-dev
sudo apt install -y libssl-dev libffi-dev liblzma-dev zlib1g-dev
# binwalk 及文件系统工具
git clone https://github.com/ReFirmLabs/binwalk.git
cd binwalk && sudo python3 setup.py install
sudo apt install -y mtd-utils ubi-reader
# Ghidra（需手动下载解压，并配置Java）
wget https://github.com/NationalSecurityAgency/ghidra/releases/download/Ghidra_11.1.2_build/ghidra_11.1.2_PUBLIC_20240530.zip
unzip ghidra_11.1.2_PUBLIC_20240530.zip -d ~/tools/
# QEMU 全架构模拟
sudo apt install -y qemu-system-arm qemu-system-mips qemu-user-staticsudo usermod -aG dialout $USER 解决。
1.4 安全与法律合规说明
固件逆向是一把双刃剑。本课程教授的技术既可以用于产品安全评估、漏洞研究、数据恢复等正当目的，也可能被滥用。因此，每位学员必须明确并遵守以下法律与道德准则：第一，只对自己拥有的设备或获得明确书面授权的目标进行测试。例如，拆解自己的路由器、分析公司委托的固件，都是合规的；但未经授权分析他人设备或商业产品固件，可能违反《计算机软件保护条例》和《网络安全法》。第二，固件中往往包含第三方开源组件（如Linux内核、BusyBox、OpenSSL），在逆向和重发布时必须遵守相应的开源许可证（GPL、LGPL、MIT等）。第三，不得将本课程的技术用于制造恶意软件、绕过设备授权、窃取商业机密或破坏关键基础设施。
在实验过程中，建议建立隔离的测试网络，避免固件中的恶意代码（如后门）感染生产环境。使用虚拟机或专用硬件平台运行提取出的文件系统，不要直接在宿主机上执行未知的二进制文件。此外，所有实验数据（固件镜像、漏洞PoC、分析报告）应妥善保管，防止泄露。
1.5 案例拆解：从零搭建一个路由器固件分析环境
为了帮助学员快速上手，我们设计了一个完整的入门案例：分析一台TP-Link TL-WR841N路由器的固件。该路由器使用Atheros AR9341芯片（MIPS架构），运行VxWorks或OpenWrt系统，固件可从官网直接下载。选择它的原因是：固件未加密、文件系统为SquashFS、且存在多个已知漏洞，非常适合教学。
实验目标：从官网下载固件，完成固件解包、文件系统提取、Web服务代码定位，并尝试找到一处命令注入漏洞。
操作步骤：
- 访问TP-Link官网，下载TL-WR841N的最新固件（例如
wr841nv14_en_3_16_9_up_boot(160519).bin）。 - 使用
binwalk扫描固件结构：binwalk wr841nv14.bin，观察输出中的SquashFS文件系统偏移量。 - 提取文件系统：
binwalk -e wr841nv14.bin，进入_wr841nv14.bin.extracted/目录，使用sasquatch解包SquashFS镜像。 - 分析文件系统内容：重点关注
/usr/bin/、/www/、/etc/目录，寻找Web服务器（通常是httpd）和CGI脚本。 - 使用Ghidra加载
httpd二进制文件，设置MIPS小端模式，定位处理HTTP请求的函数，搜索system()或popen()调用。 - 构造包含命令注入的HTTP请求，在QEMU模拟环境中验证漏洞。
结果与复盘：通过该案例，学员可以掌握固件获取、解包、静态分析、动态模拟的完整流程。需要注意的是，官网固件可能已经修复了部分漏洞，建议同时下载旧版本固件进行对比分析。此外，QEMU模拟MIPS系统时，需要配置正确的网络桥接和文件系统挂载参数，否则Web服务无法正常启动。