小米路由器R2D开发版固件逆向实战：从文件系统提取到动态仿真分析

1. 小米路由器R2D开发版固件逆向工程入门

第一次拿到小米路由器R2D开发版固件时，我完全没想到这个看似普通的二进制文件会藏着这么多秘密。作为一款主流智能家居设备的核心组件，它的固件里不仅包含了完整的操作系统，还隐藏着各种网络服务和配置信息。对于安全研究人员来说，逆向分析这类固件就像是打开了一个充满未知的宝箱。

逆向工程的核心目标很简单：在不接触实体设备的情况下，通过分析固件二进制文件来评估设备的安全性。这包括查找硬编码凭证、分析网络服务、识别潜在漏洞等。整个过程可以分为三个主要阶段：固件获取与提取、静态分析、动态仿真。每个阶段都需要特定的工具链和方法论，这也是我们今天要重点探讨的内容。

2. 固件获取与初步分析

2.1 官方固件下载与验证

小米官方提供了R2D开发版固件的直接下载，地址在miwifi.com的下载页面。下载完成后，第一步就是用sha256sum验证文件完整性，避免下载过程中出现损坏。我通常会建立一个专门的工作目录，把原始固件和后续提取的文件都放在这里：

mkdir mi_r2d_analysis && cd mi_r2d_analysis wget http://cdn.cnbj1.fds.api.mi-img.com/xiaoqiang/rom/r2d/miwifi_r2d_firmware_1.0.23.bin sha256sum miwifi_r2d_firmware_1.0.23.bin

2.2 固件结构初探

用binwalk进行快速扫描可以了解固件的大致结构：

binwalk miwifi_r2d_firmware_1.0.23.bin

输出通常会显示多个分段，包括内核镜像、文件系统等。小米路由器固件通常采用squashfs作为只读文件系统，但R2D开发版使用了UBI镜像，这给后续分析带来了一些挑战。关键是要识别出文件系统在固件中的偏移量和大小，这可以通过搜索特定的magic number来实现：

hexdump -C miwifi_r2d_firmware_1.0.23.bin | grep -i "ubi#"

3. 文件系统提取实战

3.1 使用binwalk自动提取

binwalk是最常用的固件提取工具，它内置了多种文件系统的识别能力：

binwalk -e miwifi_r2d_firmware_1.0.23.bin

这个命令会自动识别并提取固件中包含的所有已知文件系统。但根据我的经验，对于UBI镜像，binwalk有时无法完整提取所有内容。这时就需要手动方法作为补充。

3.2 手动提取UBI镜像

首先确定UBI镜像的准确偏移量，然后使用dd命令进行精确提取：

dd if=miwifi_r2d_firmware_1.0.23.bin of=ubi_image.bin bs=1 skip=$((0x120000)) count=$((0x800000))

提取出来的UBI镜像需要使用ubireader工具链进行处理：

sudo apt install uboot-tools ubi-utils ubireader_extract_images ubi_image.bin

这个过程可能会生成多个volume，需要根据实际情况选择正确的文件系统。小米R2D通常将根文件系统放在rootfs volume中。

4. 静态分析关键步骤

4.1 文件系统快速扫描

获得完整的文件系统后，我习惯先用tree命令快速浏览目录结构：

tree -L 2 rootfs/

重点关注/etc、/bin、/sbin、/usr/bin、/usr/sbin等目录，这些地方通常存放着关键的可执行文件和配置文件。

4.2 自动化分析工具应用

firmwalker是一个实用的自动化扫描脚本，它能快速定位文件系统中的敏感信息：

git clone https://github.com/craigz28/firmwalker.git ./firmwalker/firmwalker.sh rootfs/

这个脚本会扫描密码文件、SSL证书、API密钥等敏感内容，结果保存在firmwalker.txt中。特别要检查/etc/shadow和/etc/passwd文件，看看是否存在弱密码或默认凭证。

4.3 关键组件分析

BusyBox是嵌入式设备的瑞士军刀，分析其版本和编译选项非常重要：

file rootfs/bin/busybox strings rootfs/bin/busybox | grep "BusyBox v"

小米通常会对BusyBox进行定制，添加或删除某些命令。了解这些差异对后续的动态仿真至关重要。

启动脚本也是重点分析对象，特别是/etc/init.d/下的脚本和/etc/inittab文件。小米路由器的启动过程通常会加载一系列自定义服务，这些服务可能就是潜在的攻击面。

5. 动态仿真与漏洞挖掘

5.1 仿真环境搭建

Firmware Analysis Toolkit (FAT) 是最常用的固件仿真工具，它基于QEMU和Firmadyne：

git clone https://github.com/attify/firmware-analysis-toolkit.git cd firmware-analysis-toolkit ./setup.sh

安装过程会下载大量依赖，可能需要较长时间。完成后，就可以尝试仿真提取出来的文件系统了。

5.2 小米固件仿真挑战

运行FAT时指定固件路径和品牌：

./fat.py ../miwifi_r2d_firmware_1.0.23.bin xiaomi

小米固件的仿真通常会遇到几个典型问题：内核模块缺失、硬件依赖无法满足、网络接口配置错误等。我遇到最多的问题是内核panic，这通常是因为缺少必要的硬件模拟。

5.3 常见问题排查

当仿真失败时，可以尝试以下方法：

1. 修改FAT的qemu启动参数，添加更多硬件模拟选项
2. 手动chroot到文件系统，检查缺少哪些库或设备节点
3. 使用strace跟踪进程启动过程，找出崩溃点

有时需要手动创建缺失的设备节点：

sudo mknod rootfs/dev/mtdblock0 c 31 0 sudo mknod rootfs/dev/urandom c 1 9

6. 深入分析与技巧分享

6.1 网络服务分析

仿真成功后，用netstat查看开放端口：

chroot rootfs/ /bin/bash -c "netstat -tulnp"

小米路由器通常会运行httpd、dropbear(ssh)、miio等服务。这些服务的二进制文件都值得用IDA Pro或Ghidra进行深入分析。

6.2 固件修改与重打包

有时为了测试漏洞，需要修改固件内容并重打包。对于UBI镜像，流程比较复杂：

mkfs.ubifs -r rootfs -m 2048 -e 126976 -c 2048 -o rootfs.ubifs ubinize -o new_firmware.bin -m 2048 -p 128KiB ubinize.cfg

其中ubinize.cfg需要根据原始固件的参数进行配置。

6.3 真实设备验证

虽然我们的重点是在没有实体设备的情况下进行分析，但如果有条件接触到真实设备，可以验证一些发现：

adb connect 192.168.31.1 adb shell

小米路由器通常留有调试接口，但可能需要特定版本的固件才能启用。

整个分析过程就像是在解一个复杂的谜题，每个步骤都可能遇到意想不到的挑战。记得有一次，我花了整整三天时间就为了解决一个简单的内核模块依赖问题。但正是这些挑战让逆向工程如此迷人——每次突破都会带来新的发现和成就感。