4、固件漏洞挖掘：静态分析技术、动态调试技术、模糊测试入门

静态分析是在不执行固件的情况下，通过反汇编、反编译、模式匹配、数据流分析等手段发现潜在安全缺陷。常用工具包括 Ghidra、IDA Pro、Binwalk、strings 等。

核心方法

实战示例：识别危险函数

以下是在 Ghidra 中发现的典型危险函数调用模式（ARM 架构）：

// 反汇编片段：存在栈缓冲区溢出风险
0x08001234  ldr   r0, [r5, #0x10]    ; 从外部输入获取数据
0x08001238  ldr   r1, =0x20000100    ; 局部缓冲区地址（256字节）
0x0800123c  bl    strcpy             ; 危险！无长度检查
0x08001240  bl    system             ; 危险！可能执行任意命令

动态调试通过在真实硬件或模拟器（如 QEMU）上运行固件，设置断点、单步执行、观察寄存器与内存变化，从而验证漏洞的可利用性。常用工具包括 GDB、JTAG/SWD 调试器、QEMU + GDB Stub。

关键调试场景

• 断点设置：在危险函数（如 memcpy、sprintf）入口处暂停，检查参数长度。
• 内存监视：观察栈帧布局，确认缓冲区溢出是否覆盖返回地址。
• 寄存器追踪：查看 PC（程序计数器）是否被劫持，实现控制流劫持。
• 模拟执行：使用 QEMU 运行固件外设模型，无需真实硬件即可调试。

GDB 调试会话示例

(gdb) target remote :1234          # 连接 QEMU GDB Stub
(gdb) file firmware.elf             # 加载符号表
(gdb) break *0x0800123c             # 在 strcpy 处下断点
(gdb) continue                      # 运行到断点
(gdb) info registers r0 r1          # 查看源地址和目标地址
r0: 0x2000a000  (源：外部输入)
r1: 0x20000100  (目标：栈缓冲区)
(gdb) x/32x $r1                     # 查看栈内存布局
(gdb) nexti                         # 单步执行 strcpy 后观察溢出

模糊测试（Fuzzing）通过自动生成大量畸形、随机或变异的数据作为输入，监控目标是否崩溃或出现异常行为。在固件领域，常用工具有 AFL、LibFuzzer、Boofuzz 以及针对嵌入式设备的 FirmAFL、Fuzzware。

固件模糊测试流程

1. 目标提取：从固件中提取文件系统，定位网络服务、解析器（如 HTTP、MQTT、UPnP）等攻击面。
2. 输入建模：定义输入格式（如协议字段、长度、校验和），确定变异策略。
3. 插桩/模拟：使用 QEMU 用户模式或系统模式运行目标，配合 AFL 的边覆盖插桩。
4. 执行与监控：持续输入测试用例，监控崩溃、超时、内存访问异常。
5. 崩溃复现：收集导致崩溃的输入，结合 GDB 分析根因。

简单模糊测试代码示例（Python + Boofuzz）

from boofuzz import *

def test_http_request(target):
    """对固件 HTTP 服务进行模糊测试"""
    session = Session(target=target)
    define_protocol(session)
    session.fuzz()

def define_protocol(session):
    """定义 HTTP GET 请求的模糊模型"""
    s_initialize("HTTP_GET")
    s_static("GET /")
    s_string("fuzz", fuzzable=True, max_len=1024)  # 模糊路径
    s_static(" HTTP/1.1\r\n")
    s_static("Host: ")
    s_string("192.168.1.1", fuzzable=True)         # 模糊 Host 头
    s_static("\r\n\r\n")

if __name__ == "__main__":
    target = Target(connection=TCPSocketConnection("192.168.1.1", 80))
    test_http_request(target)