📚 课程目录第1章异架构Pwn概述

一、异架构Pwn概述：什么是异架构Pwn、常见异架构平台、学习路线与工具链概览

1.1 到底什么是异架构Pwn？

先聊点实在的。你平时做x86_64的Pwn题，栈溢出、堆利用、格式化字符串，玩得再花，本质上都是在跟Intel/AMD的指令集打交道。但现实世界不只有x86——你的手机、路由器、智能摄像头、甚至汽车ECU，里面跑的都是ARM、MIPS、RISC-V这些架构。

异架构Pwn，说白了就是针对非x86指令集架构的二进制漏洞挖掘与利用。我当年第一次接触ARM的Pwn题时，差点被它的调用约定搞崩溃——参数居然可以放在寄存器里，而且栈对齐规则跟x86完全不一样。你想想看，同样的栈溢出漏洞，在x86上可能一个ret2libc就搞定，换到MIPS上，你得先搞清楚怎么处理cache一致性，不然shellcode写进去都执行不了。

  核心定义：异架构Pwn = 目标二进制运行在ARM/MIPS/RISC-V等非x86指令集上，你需要跨架构进行静态分析、动态调试和漏洞利用。

为什么会有人专门研究这个？因为现实中的嵌入式设备、IoT终端、工控系统，绝大多数都不是x86。我参与过的一个路由器漏洞挖掘项目，目标设备跑的是MIPS架构，固件解包后看到一堆小端序的MIPS指令，当时我就意识到——x86那套利用技巧，在这里基本要重学。

1.2 常见异架构平台一览

目前主流的异架构Pwn目标，主要集中在三个平台。我按自己的实战经验给你排了个优先级：

架构	典型设备	指令长度	字节序	Pwn难度
ARM (32/64位)	手机、路由器、摄像头	固定4字节 (ARM模式)	小端为主	中等
MIPS	路由器、网关、打印机	固定4字节	大小端都有	较高
RISC-V	IoT、AI加速器、开源硬件	可变 (2/4字节)	小端	新兴，资料少

我个人建议从ARM入手。为什么？因为ARM的文档最全，QEMU模拟最成熟，而且网上ARM的Pwn题和CTF题目最多。我刚开始学的时候，就是拿ARM的栈溢出练手，至少遇到坑了还能搜到解决方案。MIPS嘛……嗯，它的延迟槽和cache问题，我到现在偶尔还会翻车。

避坑指南：我曾经在MIPS的shellcode上卡了整整两天，最后发现是cache没刷。MIPS的指令cache和数据cache是分离的，你写进去的shellcode如果不手动刷cache，CPU执行时读到的还是旧数据。这个坑，x86玩家根本想不到。

1.3 学习路线：从入门到实战

这条路怎么走？我把它拆成四个阶段。别急，一步步来。

基础补全期（2-4周）
- 学ARM汇编基础：寄存器、指令、调用约定
- 理解MIPS的延迟槽和分支延迟
- 了解RISC-V的指令格式和特权级
- 推荐资源：《ARM Architecture Reference Manual》、MIPS32® Instruction Set Quick Reference
工具熟悉期（1-2周）
- 安装并配置QEMU用户态和系统态模拟
- 学会用GDB-multiarch进行跨架构调试
- 掌握Ghidra/IDA Pro的异架构反编译
- 配置pwntools的异架构支持
漏洞利用期（4-8周）
- ARM栈溢出：ROP链构造、ret2libc
- MIPS堆利用：堆溢出、use-after-free
- RISC-V基础利用：shellcode编写、syscall调用
- 每个漏洞类型至少做5道实战题
实战进阶期（持续）
- 真实固件提取与模拟运行
- 多架构混合利用（比如ARM+TrustZone）
- 参与IoT漏洞众测或CTF比赛

注意：不要一上来就搞RISC-V。我见过太多人觉得RISC-V新潮，结果连基本工具链都没配好就放弃了。RISC-V的Pwn生态还在早期，GDB调试支持不完善，QEMU模拟也有不少bug。先把ARM和MIPS吃透，再碰RISC-V不迟。

1.4 工具链概览：我的日常装备

做异架构Pwn，工具链是命根子。我这些年踩过的坑，有一半是工具没配好。下面这张表是我现在每天在用的核心工具：

工具	用途	我的使用习惯
QEMU	跨架构模拟执行	用户态用 `qemu-arm-static`，系统态用 `qemu-system-arm`
GDB-multiarch	动态调试	配合 `target remote` 或 `target extended-remote`
Ghidra	静态反编译	ARM/MIPS的反编译质量最好，RISC-V还在完善
pwntools	利用脚本编写	设置 `context.arch = 'arm'` 即可切换架构
binwalk	固件提取	解包路由器固件必备，配合 `-Me` 参数递归提取
cross-compiler	交叉编译测试程序	ARM用 `arm-linux-gnueabihf-gcc`，MIPS用 `mips-linux-gnu-gcc`

你可能会问：为什么不用IDA Pro？我用，但Ghidra免费，而且对异架构的支持更新更快。我个人习惯是Ghidra做主力反编译，IDA Pro用来做精细的补丁对比和F5分析。两个工具互补，别死磕一个。

小技巧：pwntools的 ELF() 类可以自动识别架构。你只需要 e = ELF('./vuln_arm')，然后 e.arch 就能看到是ARM还是MIPS。这个功能在我处理批量固件分析时帮了大忙。

1.5 知识体系总览

下面这张图是我自己梳理的异架构Pwn知识体系。你可以把它当成学习地图，每学完一个模块就回来对照一下，看看自己到了哪个阶段。

这张图我画了好几个版本，最后定稿成现在这样。你看，从底层的汇编基础开始，一层层往上走，每一层都依赖下一层的积累。我见过太多人跳过基础层直接去搞利用，结果连GDB怎么连QEMU都不知道，调试时一脸懵。

1.6 写在开始之前

最后说几句掏心窝的话。异架构Pwn确实比x86的Pwn门槛高，但回报也大。你学会了ARM的ROP，再去搞MIPS的堆利用，会发现很多思路是相通的。我当年从x86转到ARM时，花了整整一个月才适应，但一旦跨过那个坎，后面就顺了。

这门课我会带着你，从静态分析到动态调试，从模拟环境到真实设备，一步步走完异架构Pwn的全流程。你不需要一开始就什么都懂，跟着课程节奏来，遇到问题随时停下来思考——嗯，这才是学习的正确姿势。