第2章：固件逆向分析环境搭建
做固件逆向，环境搭建是第一步。这一步没做好，后面全是坑。
我记得刚入行那会儿，拿到一个IoT设备的固件包，兴冲冲地跑Binwalk，结果啥也没解出来。折腾了半天，才发现是虚拟机里缺了几个依赖库。嗯，这种冤枉路，我希望你别走。
这一章，我就带你从头搭一套能打硬仗的逆向分析环境。工具选型、安装步骤、避坑指南，我都会讲到。
2.1 为什么选Linux虚拟机？
你可能会问：为什么非要用虚拟机？直接装双系统不行吗？
我的建议是：虚拟机 + Linux，这是最稳妥的方案。原因有三：
- 隔离性：逆向分析经常要跑不明来源的固件，万一里面有恶意代码，虚拟机就是一道防火墙。我在项目里遇到过解包后自动执行脚本的情况，幸好是在虚拟机里跑的。
- 快照回滚：装环境、配依赖，搞崩了是常事。虚拟机拍个快照，崩了直接回滚，省心。
- 跨平台：你主系统可能是Windows或macOS，但逆向工具链在Linux上最全。虚拟机让你无缝切换。
2.2 核心工具链总览
在动手安装之前，我们先理清这套环境里需要哪些工具，各自干什么活。我画了张图，你看一眼就明白了。
这张图就是我们的行动路线。从固件镜像开始，先解包提取文件系统，然后做静态分析找漏洞，最后用动态仿真验证。下面我们一个一个装。
2.3 Binwalk：固件解包的瑞士军刀
Binwalk 是固件分析的入门工具。它能自动识别固件里的文件系统、内核镜像、引导加载程序等。
安装步骤
# 更新系统
sudo apt update && sudo apt upgrade -y
# 安装依赖
sudo apt install -y git build-essential python3 python3-pip
# 克隆 Binwalk 仓库
git clone https://github.com/ReFirmLabs/binwalk.git
cd binwalk
# 安装
sudo python3 setup.py install
# 安装额外依赖（解压各种文件系统）
sudo apt install -y mtd-utils gzip bzip2 tar arj lzop lzma \
lz4 xz-utils zstd p7zip p7zip-full unzip
squashfs-tools。建议把上面那行依赖全装上，省得后面折腾。
基本用法
# 扫描固件中的文件结构
binwalk firmware.bin
# 提取所有识别到的文件
binwalk -e firmware.bin
# 递归提取（处理嵌套压缩）
binwalk -Me firmware.bin
我个人习惯先用 binwalk firmware.bin 扫一眼，看看固件里有什么。确认有文件系统后，再用 -Me 递归提取。这样心里有数，不会一股脑全解出来。
2.4 Firmadyne：固件动态仿真
静态分析只能看到代码，看不到运行时的行为。Firmadyne 能帮你把固件跑起来，模拟一个完整的设备环境。
安装步骤
# 克隆 Firmadyne
git clone https://github.com/firmadyne/firmadyne.git
cd firmadyne
# 安装依赖
sudo apt install -y python3-pip python3-dev \
qemu-system-arm qemu-system-mips qemu-system-x86 \
qemu-utils libguestfs-tools
# 安装 Python 依赖
pip3 install -r requirements.txt
# 下载预编译的内核镜像
./download.sh
使用流程
# 1. 解包固件
python3 scripts/extractor.py firmware.bin images/
# 2. 获取架构信息
python3 scripts/getArch.py images/<image_id>/
# 3. 创建网络配置
python3 scripts/makeNetwork.py -i <image_id> -a <arch>
# 4. 启动仿真
./scratch/<image_id>/run.sh
仿真启动后，你就能通过浏览器访问设备的 Web 管理界面，或者用 SSH 登录 shell。这时候，很多静态分析发现不了的漏洞就浮出水面了。
2.5 Ghidra：免费的反编译利器
Ghidra 是 NSA 开源的逆向工具。说实话，它的反编译能力在某些场景下比 IDA Pro 还强。而且免费。
安装步骤
# 1. 下载 Ghidra（需要 JDK 17+）
wget https://github.com/NationalSecurityAgency/ghidra/releases/download/Ghidra_11.0.3_build/ghidra_11.0.3_PUBLIC_20240410.zip
# 2. 解压到 /opt
sudo unzip ghidra_*.zip -d /opt/
sudo mv /opt/ghidra_* /opt/ghidra
# 3. 安装 JDK
sudo apt install -y openjdk-17-jdk
# 4. 启动 Ghidra
/opt/ghidra/ghidraRun
ghidraRun 脚本中的 MAXMEM 为 8G 或更高。
Ghidra 在固件分析中的优势
| 特性 | 说明 |
|---|---|
| 多架构支持 | ARM、MIPS、x86、PowerPC 等，覆盖 IoT 设备主流架构 |
| 反编译质量 | C 语言级别的伪代码输出，比 IDA 的 Hex-Rays 在某些场景更清晰 |
| 脚本扩展 | 支持 Python 和 Java 脚本，可以批量分析固件 |
| 协作功能 | 多人同时分析同一个固件，适合团队作战 |
2.6 IDA Pro：商业级反汇编工具
IDA Pro 是逆向界的标杆。虽然贵，但它的交互式反汇编和调试功能，目前还没有免费工具能完全替代。
安装注意事项
IDA Pro 是商业软件，需要购买许可证。安装过程不复杂，但有几个要点：
- 版本选择：建议用 IDA Pro 7.7 或更高版本，对 ARM64 和 MIPS 的支持更好。
- Python 插件：IDA 依赖 Python 3 运行脚本。安装时确保勾选 Python 3 支持。
- 远程调试：固件仿真后，IDA 可以通过 GDB 远程调试目标进程。这个功能在分析运行时漏洞时非常有用。
2.7 环境验证：跑一个真实固件
工具装完了，怎么知道环境没问题？我建议你找一个公开的 IoT 固件练手。比如 TP-Link 的路由器固件，网上很容易找到。
验证步骤：
- 用 Binwalk 解包固件，确认能提取出文件系统。
- 用 Ghidra 加载解包后的内核或应用二进制，看反编译结果是否正常。
- 用 Firmadyne 仿真固件，确认能访问 Web 界面或 SSH。
这三步走通，你的环境就算搭好了。