3. 物联网设备固件安全

固件是物联网设备的“灵魂”，它直接控制硬件行为并承载业务逻辑。固件安全分析是物联网安全运维的核心环节，涉及从物理提取到逻辑更新的全生命周期。本章将深入探讨固件提取、漏洞挖掘及安全更新机制。

3.1 固件提取与分析技术

固件提取是安全分析的第一步，根据设备物理可访问性，通常分为硬件提取和软件提取两类。硬件提取依赖编程器、JTAG/SWD调试接口或SPI闪存夹；软件提取则通过系统漏洞、OTA抓包或U-Boot控制台获取。

常见提取方法对比

方法	工具/技术	适用场景	风险等级
SPI Flash 读取	CH341A 编程器、夹子	裸露PCB、无加密	低
JTAG/SWD 调试	J-Link、OpenOCD	调试接口未锁	中
U-Boot 控制台	串口线、TFTP	启动阶段可中断	低
OTA 流量嗅探	Wireshark、mitmproxy	未加密更新包	低
漏洞提权导出	Shell、dd命令	已获取root权限	高

固件分析流程

识别文件系统：使用 binwalk 扫描固件，识别 SquashFS、JFFS2、CramFS 等嵌入式文件系统。
解包与挂载：使用 unsquashfs 或 jefferson 解包，或通过 mount -o loop 挂载。
关键文件提取：重点关注 /etc/passwd、/etc/shadow、web 目录、二进制服务程序。
字符串与硬编码分析：使用 strings 查找密码、密钥、API 端点。
架构识别：通过 file 命令或 readelf -h 确定 CPU 架构（ARM/MIPS/RISC-V）。

📦 固件分析工具链内联图

3.2 固件漏洞挖掘

固件漏洞挖掘主要关注嵌入式系统特有的攻击面，包括硬编码凭据、命令注入、缓冲区溢出、逻辑漏洞等。常用方法包括静态分析、动态模糊测试和逆向工程。

常见固件漏洞类型

硬编码后门：如默认密码 admin:admin、调试接口未移除。
命令注入：Web 表单或 CGI 参数未过滤，直接拼接到 system() 调用。
栈/堆溢出：使用 strcpy、sprintf 等不安全函数处理用户输入。
不安全的 OTA 更新：更新包未签名、未加密，可被中间人篡改。
逻辑漏洞：权限绕过、会话固定、时间戳验证缺陷。

挖掘工具速查表

工具	用途	典型命令
FirmAE	全系统仿真与动态分析	`./run.sh -c [brand] [firmware]`
Ghidra	逆向工程与反编译	导入二进制，分析函数调用图
Firmwalker	自动化敏感信息扫描	`./firmwalker.sh [firmware_dir]`
AFL++	模糊测试用户态程序	`afl-fuzz -i input -o output -- ./target`

🔍 固件漏洞挖掘流程内联图

3.3 固件安全更新机制

安全更新机制是固件安全的最后一道防线，也是运维中最常接触的环节。一个健壮的更新机制应包含：数字签名验证、加密传输、版本回滚保护、原子性更新（双备份系统）。

安全更新架构设计原则

签名验证：使用 RSA/ECDSA 对固件包签名，设备端验签后再写入。
防回滚：在 Bootloader 或内核中维护版本计数器，禁止降级到有漏洞的版本。
双分区（A/B）：保留两个系统分区，更新失败可回切到旧分区，避免变砖。
加密传输：使用 TLS/HTTPS 或 AES 加密固件包，防止中间人窃取或篡改。
完整性校验：更新包内嵌 SHA-256 哈希，设备端校验后再安装。

典型安全更新流程

设备向更新服务器发起请求，携带当前固件版本号。
服务器返回最新固件包（含签名和哈希值）。
设备下载固件到临时分区，校验签名和哈希。
校验通过后，将固件写入非活跃分区（B 分区）。
设置 Bootloader 启动标志，指向新分区。
重启设备，Bootloader 验证新固件完整性后引导。
若启动失败，Bootloader 回滚到旧分区（A 分区）。

🔄 A/B 双分区安全更新内联图

安全更新检查清单

检查项	要求	验证方法
签名算法	RSA-2048 或 ECDSA P-256	openssl dgst -verify
防回滚	版本号单调递增，不可降级	尝试刷写旧版本固件
传输加密	TLS 1.2+ 或 AES-GCM	Wireshark 抓包分析
原子性	A/B 分区或失败回滚机制	模拟更新中断测试
完整性	SHA-256 哈希校验	sha256sum 对比

代码示例：固件签名与验证（Python 伪代码）

# 服务端签名
import hashlib, rsa

with open("firmware.bin", "rb") as f:
    firmware_data = f.read()
hash_value = hashlib.sha256(firmware_data).digest()
private_key = rsa.PrivateKey.load_pkcs1(open("private.pem").read())
signature = rsa.sign(hash_value, private_key, 'SHA-256')

# 打包：firmware.bin + signature + 版本号
package = firmware_data + signature + b"v2.2.0"

# 设备端验证
public_key = rsa.PublicKey.load_pkcs1(open("public.pem").read())
received_hash = hashlib.sha256(package[:len(firmware_data)]).digest()
try:
    rsa.verify(received_hash, signature, public_key)
    print("✅ 签名验证通过，开始更新...")
except rsa.VerificationError:
    print("❌ 签名无效，拒绝更新！")

通过以上三个维度的深入分析，安全运维人员可以系统性地评估物联网设备的固件安全性，并建立有效的防御与响应机制。固件安全不是一次性工作，而是需要持续监控、定期更新和不断改进的循环过程。

📚 课程目录