3、固件获取方法：从官网、厂商、设备拆解、串口、JTAG、SPI Flash、eMMC、NAND等途径获取固件
固件获取是IoT安全分析的第一步，也是决定后续逆向工程深度与效率的关键环节。在实际渗透测试或漏洞研究项目中，分析人员往往面临“拿不到固件”或“拿到的是加密/打包后的镜像”等困境。本章系统梳理从公开渠道到硬件级提取的七类主流固件获取途径，涵盖操作原理、适用场景、工具链与风险控制，帮助读者建立一条从“软件下载”到“芯片级读取”的完整能力链路。
3.1 软件层获取：官网、厂商渠道与设备拆解
核心原理
软件层获取是最直接、成本最低的固件来源。厂商为了产品维护和用户升级，通常会在官网提供固件下载服务。这些固件文件可能是完整的升级包（.bin、.img、.pkg），也可能是分块压缩的补丁包。设备拆解则是在无法从公开渠道获得固件时，通过物理检查PCB板上的芯片型号、丝印标识、版本号等信息，间接推断固件版本和存储介质类型，为后续硬件提取做准备。
判断方法与操作流程
- 官网检索策略：优先访问厂商官方支持站点，使用“产品型号 + firmware/download/support”等关键词组合搜索。注意区分消费级产品（如路由器、摄像头）与企业级设备（如工业网关、医疗设备），后者可能需要签订NDA或通过合作伙伴门户获取。
- 固件文件识别：下载后先使用
file命令检查文件类型，再用binwalk扫描文件结构。例如，TP-Link的固件通常以“tp_fw”开头，包含一个头部和多个压缩段；而小米智能家居设备固件常为“all.bin”格式，内含U-Boot、内核和rootfs。 - 设备拆解要点：拆机时注意观察PCB上的丝印标注，如“UART_TX”、“GND”、“SPI_FLASH”等测试点。使用放大镜或微距镜头拍摄芯片表面丝印，记录芯片型号（如Winbond W25Q128、Micron MTFC4GACAJCN-4M IT等），这些信息直接决定后续读取方案。
| 获取途径 | 典型工具/命令 | 输出格式 | 适用场景 |
|---|---|---|---|
| 官网下载 | wget / curl / 浏览器 | .bin / .zip / .exe | 厂商提供公开升级渠道 |
| 厂商FTP/开发者门户 | FileZilla / lftp | .tar.gz / .img | 企业级设备、开发板SDK |
| 设备拆解 | 螺丝刀、撬棒、热风枪 | 芯片型号、PCB标识 | 无公开固件或需确认硬件版本 |
案例拆解：某品牌IP摄像头固件获取
在一次IoT漏洞挖掘项目中，目标是一款国产IP摄像头。官网仅提供最新版固件（v1.2.4），但分析人员需要对比旧版本（v1.1.0）以定位漏洞引入点。通过分析官网下载链接的URL结构，发现固件文件名包含日期参数（如“IPC_20230115_v1.1.0.bin”），直接修改日期参数后成功从服务器下载到旧版本固件。进一步拆解设备，确认主控芯片为海思Hi3516EV200，外挂SPI Flash型号为XM25QH128A，为后续硬件提取提供了精确的芯片信息。
常见误区与复盘
- 误区一：认为官网固件就是完整镜像。实际上，部分厂商会剥离Bootloader或仅提供差异升级包，导致无法直接逆向。
- 误区二：忽略设备拆解中的防拆保修标签。拆机前应评估保修风险，必要时使用热风枪无损揭开标签。
- 复盘：软件层获取的核心价值在于“快速建立基线”，但不应作为唯一依赖。建议在获取固件后立即计算SHA-256哈希值，并记录下载时间、URL和固件版本，形成可追溯的取证链。
3.2 硬件接口提取：串口与JTAG
核心原理
当软件层无法获取固件时，硬件接口成为突破口。串口（UART）是IoT设备最常见的调试接口，通常以4针（VCC、GND、TX、RX）或5针（含复位）形式引出。通过串口可以进入Bootloader交互界面，执行内存读写命令（如U-Boot的md、mw、sf read），从而转储Flash内容。JTAG（IEEE 1149.1）则是一种边界扫描测试标准，能够直接访问CPU内核和内存映射，配合OpenOCD等工具可实现完整的Flash读取和RAM转储。
操作流程与工具链
- 串口识别与连接：使用万用表测量测试点电压，GND为0V，TX/RX通常为3.3V或1.8V。连接USB-TTL适配器（如CP2102、CH340），波特率从115200开始尝试，常见备选值包括57600、38400、9600。
- Bootloader交互：上电后迅速在终端中按任意键中断自动启动流程，进入U-Boot或RedBoot命令行。执行
printenv查看环境变量，flinfo查看Flash布局。 - JTAG连接：使用J-Link或FT2232H调试器，连接TCK、TMS、TDI、TDO和GND。在OpenOCD配置文件中指定芯片型号（如
set CHIPNAME hi3516ev200），执行flash read_bank 0 dump.bin读取整个Flash。
# 查看Flash信息
> flinfo
Bank # 1: MX25L12835F (16 MB) 1x
# 读取整个Flash到内存0x82000000
> sf probe 0
> sf read 0x82000000 0x0 0x1000000
# 通过TFTP上传到PC
> tftp 0x82000000 0x1000000 192.168.1.100:flash_dump.bin案例拆解：通过串口救砖并提取固件
某工业路由器在刷机过程中变砖，无法正常启动。拆机后发现PCB上预留了4针UART接口。连接USB-TTL后，在终端中看到U-Boot反复重启。在2秒中断窗口内成功进入命令行，执行sf probe识别出Spansion S25FL256S（32MB）。通过sf read将完整Flash读取到内存，再使用TFTP上传至PC。binwalk分析发现固件包含U-Boot、内核、rootfs和art分区，成功恢复了设备并提取了完整固件。整个过程耗时约30分钟，关键成功因素在于提前准备了TFTP服务器和静态IP配置。
常见误区与风险控制
- 误区一：串口波特率猜错导致乱码。建议使用逻辑分析仪抓取TX引脚波形，自动计算波特率。
- 误区二：JTAG引脚顺序接反。务必查阅芯片数据手册确认引脚定义，或使用JTAGulator自动识别。
- 风险提示：不当的JTAG操作可能导致芯片锁死（Security Fuse烧断），使后续调试永久失效。建议在读取前备份当前Flash内容，并确认芯片是否启用读保护。
3.3 芯片级读取：SPI Flash、eMMC与NAND
核心原理
芯片级读取是固件获取的“最终手段”，适用于Bootloader锁定、串口/JTAG被禁用或芯片直接贴片在PCB上的场景。SPI Flash是最常见的固件存储介质，采用8脚SOIC封装，通过SPI协议与主控通信。eMMC和NAND Flash则用于存储容量较大的设备（如智能音箱、工业平板），前者内置控制器和Flash管理算法，后者需要外部处理坏块和ECC。
读取方法与工具选择
| 存储类型 | 封装形式 | 推荐工具 | 关键注意事项 |
|---|---|---|---|
| SPI Flash | SOIC-8 / SOP-16 | CH341A编程器 + 烧录夹 | 电压匹配（3.3V/1.8V），热插拔风险 |
| eMMC | BGA-153 / BGA-169 | eMMC转接座 + 读卡器 | 需焊接或使用测试座，注意信号完整性 |
| NAND Flash | TSOP-48 / BGA-63 | NAND编程器（如RT809H） | 需处理坏块表、OOB区域和ECC校验 |
操作流程（以SPI Flash为例）
- 芯片识别：使用放大镜确认芯片型号，查询数据手册获取引脚定义和容量。
- 连接方式：优先使用免拆夹（如Pomona 5250），夹住芯片两侧引脚。若空间受限，则需热风枪拆焊芯片，使用编程器座读取。
- 读取与校验：在CH341A编程器软件中选择芯片型号，设置读取频率（默认4MHz），执行读取并保存为.bin文件。读取完成后，将芯片放回PCB，使用编程器写入备份内容以恢复设备。
nanddump或flash_erase等工具进行镜像重建。
案例拆解：从智能门锁中提取加密固件
某智能门锁固件经过AES加密，无法从官网获取明文。拆机后确认主控为Nordic nRF52832（内置Flash），外挂一颗Winbond W25Q16JV SPI Flash。使用免拆夹连接CH341A编程器，成功读取16MB数据。binwalk扫描发现固件头部包含自定义签名“LOCK_V1”，但数据段呈高熵状态（熵值0.99），确认加密。通过分析Bootloader代码，在UART调试信息中泄露了AES密钥（32字节十六进制字符串），最终使用openssl解密固件，提取出完整的Zephyr RTOS文件系统。此案例表明，芯片级读取与软件分析结合，能够突破固件加密限制。
常见误区与总结复盘
- 误区一：忽略SPI Flash的电压域。部分新芯片支持1.8V供电，使用3.3V编程器可能损坏芯片。
- 误区二：NAND读取后直接binwalk。正确做法是先使用
nandsim或flash_erase模拟NAND控制器，处理坏块后再提取文件系统。 - 复盘：芯片级读取的成败取决于前期信息收集。建议在拆机前查阅芯片数据手册、搜索同型号设备的已知读取经验，并准备多种适配器（如SOIC-8夹、TSOP-48座、BGA测试座）以应对不同封装。