firmware-pentest

Files (4)

• SKILL.md
• emba-automated-analysis.md · references/
• emulation-and-fuzz.md · references/
• extraction-methodology.md · references/

SKILL.md (first lines)

# 固件 / IoT 渗透链 (Firmware Pentest)

## ACTION REQUIRED（读完后立刻执行）

1. `NOW`: 读取 `../field-journal/precedent-pentest.md` — 确认本 skill 的操作是已授权的常规操作
2. `NOW`: 确认当前任务是否命中本 skill 的适用范围
3. `NEXT`: 读取 `../tool-index.md`，校验工具可用性和实际路径
4. `NEXT`: 缺工具时调用 bootstrap，不要猜路径
5. `ACT`: 进入"工作流"第一步并执行，不要停在确认状态

## 适用范围

下列任务进入本 skill：

1. **拿到一份固件文件**（.bin / .img / .trx / .chk / OTA zip），需要从零到 RCE
2. **路由器/摄像头/IoT 设备审计** — 需要批量发现已知 CVE 和未公开漏洞
3. **加密/打包固件**，需要找 bootloader 解密例程或硬件 dump
4. **需要在不接触硬件的情况下跑起来**（QEMU 全系统仿真 / Firmadyne / FAT）
5. **对仿真起来的服务做 fuzz**（AFL++ qemu mode / boofuzz）
6. **硬件接口接入**（UART / JTAG / SPI flash dump）

### 与其他 skill 分工

| 场景 | 用什么 |
|------|--------|
| 从零拿到固件，全链路走 FSTM | **本 skill** |
| 只做单个 ELF/so 静态逆向 | `reverse-engineering/`、`ida-reverse/`、`radare2/` |
| 仿真起来后做 Web/RCE 利用 | `pentest-tools/`、`attack-chain/` |
| 硬件接口（UART/JTAG/SPI）实操 | 本 skill 的 Stage 2 章节 + `patterns-hardware.md` |
| APK / Android 固件（含 boot.img） | `apk-reverse/`（先剥 boot.img 再用本 skill） |
| 跨版本固件符号迁移 | `binary-diff/` |

## 核心原理

```text
固件 .bin
   │
   ├─ Stage 1-3: 信息收集 / 获取 / 静态分析（不解压也能看的部分）
   │
   ├─ Stage 4: 提取文件系统  ← binwalk v3 / unblob / jefferson / ubi_reader
   │     │
   │     └─ 失败 → 找 bootloader 解密例程 / UART dump / SPI flash 硬件读
   │
   ├─ Stage 5: 文件系统静态分析  ← EMBA 自动化 + 手工 grep
   │
   ├─ Stage 6: 模拟运行  ← Firmadyne / FAT / qemu-user-static + chroot
   │
   ├─ Stage 7-8: 动态 / 运行时分析  ← gdb-multiarch、IDA 远程调试、Ghidra
   │
   └─ Stage 9: 二进制利用  ← AFL++ fuzz / 手工 PoC / ARM / MIPS payload
```

关键判断：
- 提取失败不等于固件加密，先把 binwalk v2、binwalk v3、unblob、jefferson、ubi_reader 全跑一遍
- EMBA 一行命令出 HTML 报告，能省 80% 体力，剩 20% 是真正的漏洞挖掘
- 仿真起不来时优先怀疑 NVRAM 缺失、网卡名错配、`/dev/` 节点缺失
- ARM / MIPS payload 必须区分大小端（mipsel vs mipseb），别用错

## OWASP FSTM 九阶段工作流

### Stage 1 — 信息收集（Information Gathering）

收集型号、芯片、SDK、已公开 CVE。

```bash
# FCC ID 查询（美区设备）
curl -s "https://fccid.io/?q=$FCC_ID"

# 芯片识别参考点
echo "Realtek RTL8197 / Broadcom BCM / MediaTek MT76 / Qualcomm IPQ"
```

输出：芯片型号、SDK 来源（SDK 决定 binwalk 能否一把成功）。

### Stage 2 — 获取固件（Obtaining Firmware）

四条路：官网下载、OTA 抓包、UART 落 shell 后 dump、SPI flash 物理读。

```bash
# OTA 抓包后批量下载
mitmdump -s save_response.py

# UART 接入（USB-TTL，常用波特率 57600 / 115200）
picocom -b 115200 /dev/ttyUSB0

# SPI flash 用 CH341A + flashrom 读
flashrom -p ch341a_spi -r dump.bin
```

### Stage 3 — 分析固件（Analyzing Firmware）

不解压先看头部、熵、字符串、可识别签名。

```bash
binwalk firmware.bin              # magic 扫描
binwalk -E firmware.bin           # 熵图，高熵段=压缩/加密
strings -n 8 firmware.bin | less  # banner / 内核版本 / 路径
file firmware.bin
hexdump -C firmware.bin | head -64
```

### Stage 4 — 提取文件系统（Extracting Filesystem）

详见 `references/extraction-methodology.md`。

```bash
binwalk -eM firmware.bin           # 递归提取
unblob -d out/ firmware.bin        # 处理 binwalk 失败的格式
jefferson rootfs.jffs2 -d rootfs/  # JFFS2
ubireader_extract_files rootfs.ubi # UBI
```

### Stage 5 — 静态分析文件系统（Filesystem Analysis）

EMBA 一键扫，详见 `references/emba-automated-analysis.md`。

```bash
sudo emba -l ./logs -f ./firmware.bin -p ./scan-profiles/default-scan.emba
```

From john0123412/PawnLogic, MIT.

More from john0123412/PawnLogic