1. 固件安全概述

大家好，我是你们的讲师。在嵌入式安全这行摸爬滚打了十几年，我见过太多因为固件漏洞导致产品翻车的案例。今天咱们就来聊聊固件安全到底是个什么东西，为什么它值得你花时间认真对待。

1.1 什么是固件安全

固件，说白了就是嵌入在硬件设备里的那层软件。它不像你电脑上的应用程序可以随便卸载重装，固件是焊死在芯片里的，负责告诉硬件该怎么干活。

固件安全，就是保护这层软件不被篡改、不被逆向、不被恶意利用。我习惯把它比作设备的「免疫系统」——平时你可能感觉不到它的存在，但一旦出了问题，整个设备就废了。

你想想看，一个智能门锁的固件如果被改了，黑客就能远程开门。一台医疗输液泵的固件被篡改，剂量计算就可能出错。这不是开玩笑的事。

1.2 为什么固件安全重要

我经常被问到：「固件安全真的有那么重要吗？不就是个嵌入式系统嘛。」嗯，每次听到这种问题，我都会想起一个真实案例。

几年前我参与过一个 IoT 摄像头产品的安全审计。厂商觉得摄像头嘛，大不了被黑进去看看画面，能有多大事？结果呢，黑客通过摄像头固件的漏洞，直接渗透进了整个公司内网，把服务器上的客户数据全拖走了。你看，一个固件漏洞，毁掉的是整个系统的安全。

固件安全的重要性，我总结为三点：

• 硬件是最后一道防线 — 操作系统和应用层可以被重装，但固件一旦被攻破，硬件就彻底失控了。
• 攻击面在扩大 — 物联网设备越来越多，每个设备都是一个潜在入口。
• 修复成本极高 — 固件出问题往往需要召回设备，不像 App 发个补丁那么简单。

1.3 常见固件攻击面分析

攻击面这个词，说白了就是黑客能从哪里下手。固件的攻击面比你想的要广得多。我把它分成几个层面来讲。

1.3.1 固件存储与加载阶段

固件存放在 Flash 或 EEPROM 里，上电后被 Bootloader 加载到内存执行。这个过程中，攻击者可以：

• 物理读取 Flash — 用编程器直接把固件 dump 出来，然后逆向分析。
• 篡改固件镜像 — 在固件写入 Flash 之前注入恶意代码。
• 绕过签名校验 — 如果签名校验实现有漏洞，攻击者可以伪造合法固件。

1.3.2 固件更新与回滚阶段

这是攻击者最喜欢下手的地方。为什么？因为更新过程本身就是「开门放人」的操作。

攻击方式	描述	危害等级
回滚攻击	强制设备安装旧版本固件，利用已知漏洞	高
中间人攻击	拦截更新包，替换为恶意固件	高
重放攻击	截获合法更新包，反复发送给设备	中
降级攻击	利用版本号校验缺陷，安装低版本固件	高

为什么会这样？因为很多设备在更新时只检查「这个固件是不是官方签名的」，却不检查「这个固件是不是最新的」。攻击者只要拿到一个旧版本的官方固件，就能利用里面已经公开的漏洞。

1.3.3 运行时攻击

固件已经在跑了，攻击者还能做什么？多了去了。

• 缓冲区溢出 — 经典的栈溢出，覆盖返回地址，劫持执行流。
• 格式化字符串漏洞 — 我见过一个路由器固件，直接把用户输入传给 printf()，结果被用来读内存。
• 整数溢出 — 在内存分配或循环计数时触发，导致越界访问。
• Use-After-Free — 释放后继续使用指针，造成任意地址读写。

1.3.4 调试接口与物理攻击

这部分容易被软件工程师忽略，但硬件攻击往往更直接。

• JTAG/SWD 调试接口 — 如果没锁住，攻击者可以直接 halt CPU，读寄存器、内存、Flash。
• UART 串口 — 很多设备留了调试串口，如果没关掉或者没做认证，直接就能拿到 shell。
• 侧信道攻击 — 通过功耗、电磁辐射分析，提取密钥或固件内容。
• 故障注入 — 用电压毛刺或激光照射，让芯片跳过安全检查。

我曾经在一个项目中遇到过，客户说「我们的固件有 AES 加密，绝对安全」。结果我去现场一看，JTAG 接口直接裸露在 PCB 上，连个电阻都没加。我用一个 20 块钱的调试器就把固件读出来了。加密？密钥就硬编码在固件里，读出来直接解密。

1.4 固件安全知识体系

下面这张图是我自己整理的固件安全知识体系，涵盖了本课程要讲的核心内容。你可以把它当作一张地图，后面每章都会对应到其中的一个模块。

1.5 本章小结

固件安全不是锦上添花，而是底线。我见过太多产品因为「先上线再说」的心态，最后在安全问题上栽了大跟头。

记住几个关键点：

• 固件是硬件的灵魂，灵魂被污染了，硬件就是一块废铁。
• 攻击面无处不在，从 Flash 到网络，从调试口到运行时内存。
• 回滚攻击是最容易被忽视但危害极大的攻击方式——这也是本课程的核心主题。