3、漏洞排查方法论：固件攻击面分析、漏洞分类与排查工具链

做固件安全这些年，我最大的感受是：不知道漏洞在哪，比漏洞本身更可怕。很多团队拿到一个固件，上来就开干，结果东一榔头西一棒子，效率极低。我个人习惯是，先画一张攻击面地图，再按漏洞类型分类，最后用合适的工具定点突破。这一章，我就把这套方法论掰开揉碎讲给你听。

3.1 固件攻击面分析：你得知道敌人从哪来

攻击面分析，说白了就是回答一个问题：这个固件到底暴露了多少入口？我见过太多案例，攻击者根本没碰什么高深漏洞，就是顺着一个没关的调试接口摸进来的。

固件的攻击面，我习惯分成三个维度来看：

攻击面维度	典型入口	我踩过的坑
硬件接口	UART、JTAG、SPI、I²C、USB	某路由器留了JTAG，攻击者直接dump了整个Flash
网络接口	HTTP、HTTPS、Telnet、SSH、MQTT、CoAP	智能插座开了Telnet，密码还是admin:admin
固件内部	文件系统、配置分区、签名校验、更新机制	签名校验只检查文件名，换文件就能绕过

举个例子。我之前审计过一个工业网关的固件，光网络端口就开了十几个。HTTP、HTTPS、SSH、Telnet、FTP、SNMP……你想想看，一个网关而已，需要这么多服务吗？后来发现，Telnet和FTP纯粹是开发阶段留下的，产品经理忘了关。嗯，这种问题在固件里太常见了。

3.2 漏洞分类：设计、实现、配置，一个都不能少

漏洞分类这件事，我自己的经验是：别只看代码，要分三层看。设计层面的问题，代码写得再漂亮也救不了；实现层面的问题，是代码写错了；配置层面的问题，是部署时埋的雷。

3.2.1 设计漏洞：架构层面的硬伤

设计漏洞是最难修的，因为它不是改一行代码就能解决的。我遇到过最典型的例子是：固件更新机制没有签名校验。攻击者只要伪造一个更新包，就能让设备执行任意代码。这种问题，你代码写得再规范也没用，架构上就输了。

常见的设计漏洞包括：

• 缺乏身份认证：谁都能访问管理接口
• 弱加密算法：用MD5存密码，用DES加密通信
• 权限分离缺失：用户态和内核态不分，一个漏洞就能提权
• 回滚机制缺陷：攻击者可以刷回有漏洞的老版本

3.2.2 实现漏洞：代码层面的坑

实现漏洞，说白了就是程序员写代码时手滑了。这类漏洞最常见，也最好找——只要你用对工具。

我按出现频率排个序：

1. 缓冲区溢出：strcpy、sprintf、memcpy 用起来很爽，但坑也最多
2. 整数溢出：malloc(size) 里 size 是负数，你猜会怎样？
3. 格式化字符串：printf(user_input) 这种写法，我见了就想骂人
4. 命令注入：system() 里拼接用户输入，简直是给攻击者开门
5. 内存泄漏：嵌入式设备内存本来就小，泄漏几次就崩了

3.2.3 配置漏洞：部署时的疏忽

配置漏洞最冤——代码没问题，设计也没问题，就是部署时少勾了一个选项，或者多开了一个端口。我见过最离谱的案例是：某防火墙固件，出厂默认开启了调试模式，日志里直接打印了管理员密码。

常见的配置漏洞：

• 默认密码未修改：admin/admin、root/root 这种组合，一猜一个准
• 调试接口未关闭：UART、JTAG 在生产固件里还开着
• 日志级别过高：打印了敏感信息，比如密钥、密码、Token
• 权限配置过松：普通用户能访问系统文件，能执行系统命令

3.3 排查工具链介绍：工欲善其事，必先利其器

工具这东西，不在多，在精。我这些年攒了一套自己的工具链，按排查阶段分成了四块。你照着这个来，基本不会漏东西。

排查阶段	推荐工具	我为什么选它
固件提取	binwalk、dd、unblob	binwalk 能自动识别文件系统，unblob 处理复杂格式更稳
静态分析	Ghidra、IDA Pro、Radare2	Ghidra 免费且支持反编译，IDA Pro 交互体验最好
动态分析	QEMU、GDB、Firmadyne	QEMU 模拟运行，Firmadyne 自动化固件仿真
模糊测试	AFL、libFuzzer、Boofuzz	AFL 覆盖率好，Boofuzz 适合网络协议

举个例子。我之前排查一个IoT摄像头固件，流程是这样的：

1. 用 binwalk 提取文件系统，发现是 SquashFS
2. 用 Ghidra 反编译 Web 服务程序，发现一个 sprintf 缓冲区溢出
3. 用 QEMU 模拟运行，确认溢出点可以触发
4. 用 AFL 对输入接口做 Fuzzing，又挖出两个整数溢出

整个过程不到两天，效率比纯人工翻代码高了一个数量级。

3.4 知识体系总览：一张图看懂方法论

下面这张图，是我自己总结的固件漏洞排查知识体系。你把它存下来，每次做排查前看一眼，思路就清晰了。

这张图的核心逻辑是：先摸清攻击面，再按漏洞类型分类，最后用对应的工具链去排查。三层之间是递进关系，不能跳步。我见过有人跳过攻击面分析，直接拿工具扫代码，结果漏掉了硬件接口上的漏洞——嗯，这种教训一次就够了。