一、异架构Pwn概述：什么是异架构Pwn、常见异架构平台、异架构漏洞利用的挑战与机遇

1.1 到底什么是异架构Pwn？

先聊个基础问题。你平时做Pwn，大概率是在x86或x64上折腾。栈溢出、堆溢出、格式化字符串，套路都熟了。但突然有一天，你拿到一个固件，反汇编一看——指令集不认识。ARM？MIPS？RISC-V？这就是异架构Pwn的起点。

说白了，异架构Pwn就是在非x86体系结构上做漏洞挖掘与利用。目标设备可能是路由器、摄像头、IoT网关，甚至是车机系统。我最早接触这个方向，是因为一个智能家居项目。固件解包后，发现是MIPS架构。当时我连MIPS的延迟槽都没搞明白，调试器一跑就崩。嗯，那感觉挺难忘的。

你可能会问：指令集不同，漏洞利用的思路还一样吗？

底层逻辑没变——依然是控制流劫持、数据流篡改、信息泄露。但实现细节天差地别。比如x86上你习惯用ret2libc，MIPS上可没有标准的ret指令。ARM的栈布局和x86也不一样。这些差异，恰恰是异架构Pwn的乐趣所在。

1.2 常见异架构平台：ARM / MIPS / RISC-V

目前主流异架构平台就三个。我按个人经验排个序：ARM最常见，MIPS次之，RISC-V正在快速崛起。

架构	典型设备	指令长度	寻址模式	我的评价
ARM	手机、路由器、摄像头、车机	32位/16位(Thumb)	Load/Store架构	生态最成熟，资料最多
MIPS	路由器、交换机、IoT设备	32位固定长度	Load/Store架构	延迟槽是坑，但利用稳定
RISC-V	嵌入式开发板、AI芯片	32位/16位压缩指令	Load/Store架构	新贵，工具链在完善中

ARM架构

ARM是目前异架构Pwn的绝对主力。我做过一个项目，目标是某款智能摄像头。固件解包后，发现是ARM Cortex-A7。ARM有两个模式：ARM模式和Thumb模式。指令长度不同，ROP gadget的搜索方式也不同。我个人习惯用ropper配合--arch arm参数来搜gadget。

ARM的调用约定是：前4个参数通过r0-r3传递，多余的压栈。返回值在r0。这一点和x86差异很大。你写shellcode时，要特别注意寄存器使用规则。

MIPS架构

MIPS是我个人又爱又恨的架构。爱的是它指令规整，32位固定长度，ROP gadget很好找。恨的是延迟槽——分支指令后面的那条指令，无论分支是否跳转，都会被执行。我第一次写MIPS的exploit时，就因为没处理延迟槽，shellcode死活跑不起来。

MIPS的寄存器命名也很有特色：$ra是返回地址寄存器，$sp是栈指针，$gp是全局指针。你写ROP链时，经常要操作$ra来控制返回流。

RISC-V架构

RISC-V是后起之秀。我最近在玩一个RISC-V的开发板，芯片是SiFive的U74。RISC-V的指令集非常精简，基础指令只有几十条。这意味着ROP gadget的数量可能不如ARM和MIPS丰富。但RISC-V的设计很干净，没有延迟槽，没有ARM的Thumb模式切换，学习曲线相对平缓。

RISC-V的调用约定和ARM类似：前8个整数参数通过a0-a7传递，多余的压栈。返回值在a0。目前RISC-V的Fuzz工具链还在早期阶段，但发展很快。我个人看好它成为下一个主流异架构平台。

1.3 异架构漏洞利用的挑战与机遇

聊完平台，说说实际的挑战。我做了几年异架构Pwn，踩过的坑能写一本小册子。下面列几个最典型的。

挑战一：工具链不成熟

x86上有GDB、pwntools、IDA Pro，生态非常完善。但到了异架构，很多工具要重新适配。比如GDB调试ARM，需要安装gdb-multiarch。MIPS的QEMU用户态模拟，经常遇到系统调用不兼容的问题。我记得有一次调试MIPS的堆溢出，QEMU跑起来正常，但真机上就崩。查了两天，发现是QEMU的mmap行为与真机不一致。

挑战二：指令集差异带来的利用难度

不同架构的指令编码、寻址方式、寄存器数量都不一样。你在x86上习惯用ret指令控制栈，但MIPS没有ret，它用jr $ra。ARM的BX指令可以切换模式，但写shellcode时要注意对齐。这些细节，每一个都可能让你的exploit失效。

挑战三：Fuzz测试的适配成本

Fuzz测试异架构程序，通常需要模拟器或真机。AFL、libFuzzer这些工具，原生支持x86。要跑ARM的二进制，你得用QEMU模式。QEMU模式的Fuzz速度比原生慢一个数量级。我做过对比：同样一个程序，x86原生Fuzz每秒能跑5000次，ARM QEMU模式只能跑300次。这差距，你想想看。

机遇：IoT安全市场的爆发

挑战大，机遇也大。IoT设备数量已经超过百亿台，其中绝大多数是ARM、MIPS、RISC-V架构。这些设备的安全防护普遍薄弱。很多路由器固件连栈保护都没开，堆分配器也是老旧的dlmalloc。对于Pwn手来说，这就是蓝海。

我个人的判断是：未来五年，异架构Pwn的需求会持续增长。车机安全、工业控制安全、智能家居安全，都离不开异架构漏洞挖掘。现在入局，时机正好。

1.4 异架构Pwn知识体系总览

下面这张图，是我自己整理的知识体系。你可以把它当作学习路线图。

1.5 学习路径建议

如果你刚入门异架构Pwn，我建议按这个顺序来：

1. 先选一个架构深耕。ARM资料最多，适合入门。MIPS坑多但稳定。RISC-V新，但前景好。
2. 搭建模拟环境。QEMU是首选。学会用QEMU用户态模式和系统态模式跑异架构程序。
3. 从简单漏洞开始。栈溢出是最友好的。先写一个ARM上的ret2libc，再尝试MIPS的ROP。
4. 引入Fuzz测试。用AFL的QEMU模式Fuzz一个简单的异架构程序，观察crash。
5. 实战固件。找一个开源的路由器固件，解包、分析、Fuzz、利用。走完一个完整流程。