1、固件安全概述：为什么固件可信如此重要？常见固件攻击面分析

大家好，我是这次课程的主讲。做了十几年固件安全，我见过太多因为“觉得固件没问题”而翻车的案例。今天咱们就从最基础的问题聊起：固件可信，到底为什么这么重要？

1.1 固件：数字世界的“地基”

你想想看，一台设备从按下电源键到操作系统启动，中间发生了什么？

是固件在干活。从 CPU 复位向量、BootROM、Bootloader，到 UEFI/BIOS、BMC、Option ROM……这一连串的代码，构成了整个系统的信任起点。操作系统、应用、数据，全都建立在固件这个地基之上。

我在项目中遇到过一家做 IoT 网关的客户。他们花了大价钱做应用层安全加固，结果呢？攻击者通过一个未锁定的调试接口刷入了恶意固件，整个网关变成了僵尸网络的一员。应用层的防火墙、入侵检测，全成了摆设。

1.2 为什么固件攻击越来越多？

说白了，以前大家不重视固件安全，是因为攻击成本高、收益低。但现在不一样了。

• 设备联网普及： 几乎每个嵌入式设备都能上网，远程攻击成为可能。
• 固件提取门槛降低： 用个逻辑分析仪、SPI Flash 夹子，甚至通过软件漏洞就能把固件 dump 出来。
• 供应链复杂化： 一个固件里可能混了十几个第三方库、IP Core，谁知道哪个有后门？
• 攻击回报高： 攻破固件意味着拿到设备的“永久控制权”，而且很难被修复。

1.3 常见固件攻击面分析

攻击面这个词，说白了就是“攻击者能从哪里下手”。固件的攻击面，我习惯分成这么几类：

攻击面类别	典型攻击方式	危害等级
固件存储	SPI Flash 物理读取、JTAG/SWD 调试接口未锁定	极高
固件更新	未签名更新包、降级攻击、中间人篡改	高
运行时接口	UART 控制台暴露、网络服务缓冲区溢出	高
配置数据	硬编码凭据、未加密的密钥存储	中高
供应链	第三方库漏洞、恶意 IP Core、开发工具链后门	极高

1.4 深入几个典型攻击场景

1.4.1 固件提取与逆向

这是最基础的攻击手法。攻击者拿到设备，拆开外壳，找到 SPI Flash 芯片，用夹子或者编程器直接读出固件内容。然后扔进反汇编工具，开始找漏洞。

我曾经帮一个客户做安全评估，他们的产品用了一颗常见的 SPI Flash。我花了不到 10 分钟就把固件读出来了，然后在里面找到了硬编码的 SSH 私钥和数据库密码。客户当时脸都绿了。

1.4.2 固件更新劫持

固件更新机制，是攻击者最喜欢的入口之一。为什么？因为更新过程本身就涉及代码下载、校验、写入，任何一个环节出问题，都能被利用。

• 未签名更新： 固件包没有数字签名，攻击者可以伪造更新包。
• 签名验证绕过： 实现有 bug，比如只检查文件名后缀，不验证实际内容。
• 降级攻击： 允许安装旧版本固件，而旧版本有已知漏洞。
• 不安全传输： 通过 HTTP 明文传输固件包，中间人可以篡改。

1.4.3 运行时漏洞利用

固件也是软件，也会有缓冲区溢出、整数溢出、格式化字符串这些经典漏洞。只不过固件运行在裸机或 RTOS 上，没有操作系统的内存保护机制，所以利用起来往往更直接。

我记得有一次分析一个网络设备的固件，发现它的 Web 管理接口在处理 HTTP POST 请求时，直接把用户输入拷贝到一个固定大小的栈缓冲区里。没有检查长度，没有 canary，栈地址还是固定的。这简直是在给攻击者开门。

1.5 固件攻击的后果

固件被攻破，后果不只是“设备坏了”这么简单。

• 设备永久失陷： 攻击者可以植入持久化后门，即使恢复出厂设置也无法清除。
• 横向移动： 被控设备成为跳板，攻击内网其他系统。
• 供应链污染： 恶意固件通过更新渠道扩散到大量设备。
• 物理破坏： 固件可以控制硬件行为，比如过压烧毁电路、篡改电机控制逻辑。

1.6 固件安全知识体系

下面这张图，是我梳理的固件安全核心知识框架。咱们这门课，就是围绕这个体系展开的。

从这张图你能看到，固件安全不是单一的技术点，而是一个从硬件信任根到远程证明的完整链条。咱们这门课，就是要把这个链条上的每个环节都讲透。

1.7 小结

这一章咱们聊了固件安全为什么重要，也看了常见的攻击面。说白了，固件就是设备的“命门”。攻击者一旦拿到固件控制权，设备就不再是你的了。

接下来的章节，我会带着大家深入每个技术细节。从信任根怎么建立，到安全启动怎么实现，再到远程证明方案怎么设计——咱们一步步来。