1. 固件安全概述：从“看不见的代码”说起

大家好，欢迎来到这门课。我是你们的老朋友，一个在嵌入式安全领域摸爬滚打了十几年的工程师。今天咱们聊点最基础的——固件安全到底是什么？

很多人觉得固件这东西，看不见摸不着，能有多大问题？我告诉你，问题大了去了。我见过太多产品，硬件设计得漂漂亮亮，软件架构也高大上，结果固件一塌糊涂，被攻击者轻松拿捏。说白了，固件就是设备的“灵魂”，灵魂出了问题，再好的皮囊也没用。

1.1 什么是固件？

先别急着翻书，我用大白话给你解释。固件，就是固化在硬件里的软件。它不像你电脑上的Word、Excel，想装就装，想删就删。固件是焊死在芯片里的，或者存储在Flash、EEPROM这类非易失性存储器里。

你想想看，你的手机、路由器、智能门锁、汽车ECU，甚至你家的智能灯泡，里面都有固件。它负责最底层的硬件初始化、系统启动、外设驱动……没有它，设备就是一块砖头。

我个人习惯把固件分成三类：

• Bootloader（引导加载程序）： 设备上电后第一个执行的代码。负责初始化硬件、加载主固件。比如U-Boot、Coreboot。
• 主固件（Main Firmware）： 设备的核心功能代码。比如路由器的操作系统、打印机的控制逻辑。
• 配置数据（Configuration Data）： 设备的校准参数、MAC地址、密钥等。这部分虽然不算是“代码”，但同样重要，经常被攻击者盯上。

嗯，这里要注意，很多工程师只关注主固件，忽略了Bootloader和配置数据。我在项目中遇到过不止一次，攻击者通过篡改Bootloader，直接绕过了所有的安全校验。所以，这三块都得管。

1.2 固件安全的重要性

为什么固件安全这么重要？我给你讲个真实案例。

几年前，我参与过一个智能门锁的安全评估。客户说他们的锁很安全，用了AES加密。结果我一分析固件，发现密钥硬编码在代码里，而且固件更新没有任何签名校验。攻击者只要拿到一个固件文件，就能提取出密钥，然后伪造固件，远程开锁。你说可怕不可怕？

固件安全的重要性，主要体现在这几个方面：

维度	说明	我的经验
持久性	固件一旦被植入恶意代码，很难清除。不像App，卸载重装就行。固件得重新刷写，很多用户根本不会操作。	我曾经见过一个路由器，被植入后门固件后，用户换了三次“新”路由器，结果问题依旧——因为攻击者感染了供应链。
底层控制	固件拥有最高权限。它可以访问所有硬件资源，包括内存、外设、加密引擎。一旦失守，上层系统毫无还手之力。	我记得有一次，攻击者通过固件漏洞，直接读取了TPM（可信平台模块）里的私钥。上层所有的加密保护瞬间失效。
隐蔽性	固件攻击很难被发现。传统的杀毒软件、EDR（端点检测与响应）根本看不到固件层。攻击者可以长期潜伏。	说白了，固件攻击就像“内鬼”。他躲在系统最底层，你查进程、查网络流量，都发现不了他。
供应链风险	固件可能在生产、运输、更新过程中被篡改。一个芯片从设计到出厂，经过无数道手，每一道都是风险点。	我建议，做产品安全，一定要从供应链抓起。否则，你辛辛苦苦做的安全方案，可能出厂前就被人动了手脚。

1.3 常见固件攻击面分析

好了，知道了固件是什么，也知道了它为什么重要。接下来咱们聊聊攻击者是怎么下手的。我把常见的攻击面总结成了一张图，你先看看。

这张图我画了很久，基本覆盖了主流的攻击路径。下面我挑几个重点给你拆解一下。

1.3.1 存储与提取攻击

这是最直接的一步。攻击者首先要拿到固件，才能分析它。怎么拿？

• SPI Flash读取： 很多设备用SPI Flash存固件。用个编程器，夹住芯片引脚，就能把固件读出来。我建议，产品量产前一定要把Flash的读保护打开，不然就是裸奔。
• JTAG/SWD调试接口： 调试接口本来是给开发者用的，但如果出厂没锁死，攻击者就能通过它读取内存、下载固件、甚至单步调试。我曾经见过一个工控设备，JTAG接口直接暴露在PCB边缘，连个电阻都没加。
• UART串口： 很多设备会保留UART调试口。攻击者接上串口线，就能拿到Shell。如果Bootloader没设密码，那就更简单了——直接中断启动，进入uboot命令行，想干嘛干嘛。
• 固件更新包： 这是最常见的途径。攻击者从官网下载固件更新包，或者抓包截获OTA升级包。如果固件没加密，那基本上就是“送人头”。

1.3.2 逆向分析攻击

拿到固件之后，攻击者就开始“解剖”了。常用的工具有binwalk、Ghidra、IDA Pro等。

• binwalk解包： 固件通常是个大二进制文件，里面可能包含文件系统、内核、Bootloader。binwalk能自动识别并提取这些组件。我习惯先用binwalk扫一遍，看看固件有没有被“打包”。
• 字符串提取： 在固件里搜索字符串，往往能找到敏感信息。比如硬编码的密码、API密钥、IP地址、文件路径。我见过最离谱的，有人在固件里直接写了数据库的连接字符串，用户名密码一应俱全。
• 反汇编/反编译： 对于ARM、MIPS、RISC-V这些架构，可以用Ghidra或IDA反汇编。攻击者会寻找危险函数（如strcpy、system、sprintf），分析调用链，寻找漏洞。
• 漏洞模式识别： 有经验的逆向工程师，一眼就能看出代码里的“坏味道”。比如没有边界检查的循环、直接拼接用户输入的字符串、使用不安全的API。

1.3.3 运行态攻击

这是最“硬核”的一类攻击。攻击者不需要提前拿到固件，而是直接对运行中的设备下手。

• 缓冲区溢出： 经典漏洞。攻击者发送超长数据，覆盖栈上的返回地址，劫持程序控制流。在嵌入式设备里，栈溢出尤其常见，因为很多开发者为了省内存，喜欢用固定大小的数组。
• 命令注入： 如果固件里调用了system()或popen()，并且参数包含用户输入，攻击者就能执行任意系统命令。我建议，能用库函数实现的，就别调shell命令。
• 内存破坏： 包括堆溢出、Use-After-Free、Double Free等。这类漏洞在C/C++固件里很常见，而且利用起来往往能实现任意代码执行。
• 侧信道攻击： 通过分析功耗、电磁辐射、执行时间等物理特征，来窃取密钥。比如SPA（简单功耗分析）、DPA（差分功耗分析）。这类攻击对硬件设计的要求比较高，但一旦成功，加密算法形同虚设。

1.4 小结

这一章我们聊了固件的定义、安全重要性，以及三大类攻击面。说白了，固件安全就是一场“猫鼠游戏”。攻击者在不断进化，我们的防御也必须跟上。

记住一句话：没有绝对的安全，只有不断深化的防御。 后面的课程，我会带你一步步深入，从固件提取、逆向分析，到漏洞挖掘、防护加固，把每一个环节都讲透。