搜索

[21002] 2020-05-03_Binwalk：后门（固件）分析利器

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-05-03_Binwalk：后门（固件）分析利器 B i n w a l k ： 后 门 （ 固 件 ） 分 析 利 器 L e m o n S e c   2 0 2 0 - 0 5 - 0 3 近 期 网 络 上 爆 发 的 厂 商 固 件 后 门 漏 洞 ， 如 近 期 网 络 上 爆 发 的 厂 商 固 件 后 门 漏 洞 ， 如 D - L I N K     腾 达 路 由 器 后 门 时 用 到 的 分 析 工 具 是 腾 达 路 由 器 后 门 时 用 到 的 分 析 工 具 是 B i n w a l k ， 最 近 又 更 新 到 最 新 版 ， 最 近 又 更 新 到 最 新 版 本 。 周 五 抽 空 翻 译 了 下 工 具 使 用 方 法 和 例 子 。 本 。 周 五 抽 空 翻 译 了 下 工 具 使 用 方 法 和 例 子 。 B i n w a l k 介 绍 介 绍 B i n w a l k 是 一 个 固 件 的 分 析 工 具 ， 旨 在 协 助 研 究 人 员 对 固 件 非 分 析 ， 提 取 及 逆 向 工 程 用 处 。 简 单 易 用 ， 完 全 自 动 化 脚 本 ， 并 通 过 自 定 义 签 名 ， 提 取 规 则 和 插 件 模 块 ， 还 重 要 一 点 的 是 可 以 轻 松 地 扩 展 。 最 简 单 使 用 方 法 很 直 接 ;   提 供 固 件 文 件 路 径 和 文 件 名 即 可 : $   b i n w a l k   f i r m w a r e . b i n 如 果 单 单 基 于 签 名 匹 配 的 话 有 些 文 件 类 型 是 无 法 准 确 的 识 别 到 . 所 以 检 测 这 些 类 型 签 名 的 文 件 需 要 特 定 插 件 的 配 合 （ 通 过 插 件 来 实 现 ） ， 如 果 不 启 用 将 大 大 增 加 扫 描 时 间 和 占 用 大 量 内 存 例 如 ， 扫 描 z l i b 压 缩 包 的 时 候 ， 得 需 使 用 z l i b 的 插 件 ： $   b i n w a l k   - - e n a b l e - p l u g i n = z l i b   f i r m w a r e . b i n 过 滤 功 能 过 滤 功 能 包 含 过 滤 器 - y 选 项 仅 包 括 指 定 的 搜 索 文 本 匹 配 的 结 果 。 搜 索 字 符 串 （ 文 本 ） 应 当 使 用 小 写 ， 包 括 正 则 表 达 式 ， 并 且 可 以 指 定 多 个 - Y 选 项 。 下 列 搜 索 结 果 只 包 含 文 本 “ 文 件 系 统 ” 中 搜 索 出 来 的 结 果 。 （ 也 就 说 使 用 了   f i l e s y s t e m 的 Y 选 项 的 话 结 果 中 只 包 含 文 本 字 符 结 果 ） $   b i n w a l k   - y   f i l e s y s t e m   f i r m w a r e . b i n 排 除 过 滤 器 - x 选 项 是 排 除 搜 索 结 果 中 的 指 定 符 合 规 则 的 文 本 （ 或 者 字 符 串 ） 。 搜 索 字 符 串 （ 文 本 ） 应 当 使 用 小 写 ， 包 括 正 则 表 达 式 ， 并 且 可 以 指 定 多 个 - X 选 项 。 下 列 例 子 中 搜 索 时 将 排 除 “ j f f s 2 ” 字 符 串 ： $   b i n w a l k   - x   j f f s 2   f i r m w a r e . b i n 高 级 过 滤 器 可 以 将 包 含 和 排 除 过 滤 两 功 能 结 合 使 用 ： 例 子 ： 下 列 搜 索 结 果 即 包 含 文 本 “ 文 件 系 统 ” 中 搜 索 出 来 的 结 果 又 排 除 j f f s 2 字 符 串 结 果 。 $   b i n w a l k   - y   f i l e s y s t e m   - x   j f f s 2   f i r m w a r e . b i n
提 取 文 件 手 动 提 取 文 件 B i n w a l k 可 以 提 取 数 据 ， 发 现 在 目 标 文 件 中 指 定 提 取 规 则 使 用   –     d d 选 项 。 用 于 提 取 指 定 规 则 的 格 式 是 ： < t y p e > : < e x t e n s i o n > [ : < c o m m a n d > ] 从 哪 里 提 取 : t y p e   是 签 名 中 描 述 的 小 写 字 符 串 （ 支 持 正 则 表 达 式 ） e x t e n s i o n   是 将 数 据 保 存 到 磁 盘 时 使 用 的 文 件 扩 展 名 c o m m a n d   是 当 数 据 已 保 存 到 磁 盘 后 可 选 的 命 令 执 行 语 句   默 认 情 况 下 ， 除 非 备 用 文 件 名 中 指 定 签 名 情 况 意 外 ， 文 件 名 是 十 六 进 制 偏 移 签 名 被 发 现 。 下 面 的 例 子 演 示 如 何 使 用   –     d d 选 项 ， 将 提 取 任 何 包 含 字 符 串 ’ z i p 归 档 文 件 扩 展 名 的 ’ z i p ’ 的 签 名 ， 并 随 后 执 行 “ 解 压 缩 ” 命 令 指 定 提 取 规 则 。 可 指 定 多 个 – d d 选 项 ： $   b i n w a l k   - - d d = ' z i p   a r c h i v e : z i p : u n z i p   % e '   f i r m w a r e . b i n 要 注 意 占 位 符 的 使 用   如 ： “ % e ’ ” ： 此 占 位 符 将 被 替 换 为 所 提 取 的 文 件 的 相 对 路 径 时 ， 将 执 行 命 令 。 自 动 化 （ 自 动 ） 提 取 - e 选 项 可 以 用 来 执 行 自 动 数 据 提 取 的 基 础 上 提 取 规 则 中 指 定 的 默 认 的 e x t r a c t . c o n f 文 件 ： $   b i n w a l k   - e   f i r m w a r e . b i n -   提 取 选 项 的 工 作 原 理 相 同 ， 除 了 你 必 须 指 定 一 个 自 定 义 提 取 规 则 文 件 的 路 径 ： $   b i n w a l k   - e   f i r m w a r e . b i n $   b i n w a l k   - - e x t r a c t = . / m y _ e x t r a c t . c o n f   f i r m w a r e . b i n 递 归 提 取 很 多 次 ， 提 取 的 数 据 可 能 需 要 进 一 步 b i n w a l k 的 分 析 。 为 了 帮 助 自 动 化 ， b i n w a l k 可 以 递 归 扫 描 提 取 的 数 据 和 由 外 部 减 压 或 提 取 工 具 创 建 的 文 件 指 定 - M 选 项 和 - e 选 项 一 起 使 用 ： $   b i n w a l k   - M e   f i r m w a r e . b i n 请 注 意 ， - M 选 项 将 提 取 的 文 件 8 层 递 归 ， 且 忽 略 外 部 提 取 工 具 可 以 创 建 任 何 目 录 。 操 作 码 B i n w a l k 中 使 用 A 选 项 时 可 以 扫 描 通 常 与 功 能 相 关 联 的 各 种 框 架 操 作 码 $   b i n w a l k   - A   f i r m w a r e . b i n 转 换 功 能 b i n w a l k 使 用   - C   选 项 来 完 成 多 个 不 用 文 件 类 型 转 换 ;   通 常 最 好 是 使 用 - l 选 项 来 限 制 这 种 扫 描 ： $   b i n w a l k   - l   3 2   - C   f i r m w a r e . b i n 比 较 功 能 B i n w a l k 可 以 生 成 一 个 或 多 个 文 件 的 十 六 进 制 转 储 和 差 别 。 在 文 件 当 中 相 同 字 节 的 是 绿 色 显 示 ， 不 同 的 是 红 色 显 示 ， 蓝 色 表 示 只 是 有 些 文 件 当 中 的 不 同 部 分 。 $   b i n w a l k   - W   f i r m w a r e 1 . b i n   f i r m w a r e 2 . b i n   f i r m w a r e 3 . b i n 字 符 串 除 了 上 述 基 于 签 名 的 扫 描 ， b i n w a l k 可 以 对 目 标 文 件 进 行 一 个 智 能 的 字 符 串 分 析 , 虽 然 不 是 完 全 替 代 的 U n i x   s t r i n g s 一 样 强 大 功 能 ， 但 是 b i n w a l k 通 过 应 用 一 些 非 常 简 单 的 验 证 规 则 筛 选 出 最 “ 垃 圾 ” 的 字 符 串 ， 和 忽 略 一 些 无 顺 序 的 数 据 块 $   b i n w a l k   - S   f i r m w a r e . b i n 熵 分 析 B i n w a l k   对 目 标 文 件 可 以 进 行 熵 分 析 目 标 文 件 ， 生 成 原 始 的 熵 数 据 和 / 或 积 表 示 的 曲 线 图 的 数 据 ： $   b i n w a l k   - E   f i r m w a r e . b i n 签 名 或 字 符 串 的 分 析 ， 以 及 可 以 结 合 熵 分 析 。 例 如 ， 下 面 的 命 令 将 扫 描 目 标 文 件 ， 可 执 行 代 码 和 熵 图 上 叠 加 的 扫 描 结 果 ： $   b i n w a l k   - A E   f i r m w a r e . b i n
启 发 （ 或 者 引 导 式 ） B i n w a l k 的 启 发 式 扫 描 作 为 加 密 或 压 缩 的 高 熵 的 数 据 块 进 行 分 类 的 尝 试 。 虽 然 这 种 类 型 的 扫 描 是 不 是 1 0 0 ％ 准 确 。 在 一 般 情 况 下 ， 压 缩 的 数 据 或 已 使 用 弱 加 密 算 法 将 有 一 个 整 体 的 高 熵 的 加 密 ， 但 小 有 出 现 断 块 低 熵 的 数 据 。 已 具 有 较 强 的 熵 算 法 加 密 的 数 据 不 会 有 这 些 小 块 的 低 熵 的 数 据 ： $   b i n w a l k   - - h e u r i s t i c   f i r m w a r e . b i n D E C I M A L                   H E X                           H E U R I S T I C   A N A L Y S I S - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 0                               0 x 0                           C o m p r e s s e d   /   m o d e r a t e   e n t r o p y   d a t a ,   2 4 5   l o w   e n t r o p y   b l o c k s 2 8 3 6 4 8                     0 x 4 5 4 0 0                   C o m p r e s s e d   /   m o d e r a t e   e n t r o p y   d a t a ,   2 1 9   l o w   e n t r o p y   b l o c k s 3 6 0 4 4 8                     0 x 5 8 0 0 0                   C o m p r e s s e d   /   m o d e r a t e   e n t r o p y   d a t a ,   1 6 0   l o w   e n t r o p y   b l o c k s 3 7 1 7 1 2                     0 x 5 A C 0 0                   C o m p r e s s e d   /   m o d e r a t e   e n t r o p y   d a t a ,   1 3 9   l o w   e n t r o p y   b l o c k s 3 8 1 9 5 2                     0 x 5 D 4 0 0                   C o m p r e s s e d   /   m o d e r a t e   e n t r o p y   d a t a ,   5 7   l o w   e n t r o p y   b l o c k s 3 8 4 0 0 0                     0 x 5 D C 0 0                   C o m p r e s s e d   /   m o d e r a t e   e n t r o p y   d a t a ,   4 0   l o w   e n t r o p y   b l o c k s 请 注 意 ， 此 扫 描 需 要 两 个 周 期 （ 一 个 用 于 初 始 熵 分 析 ， 以 及 第 二 更 紧 密 的 启 发 式 分 析 ） ， 这 需 要 一 定 时 间 来 完 成 的 ， 尤 其 是 目 标 文 件 特 别 打 的 话 花 费 更 多 的 时 间 。 插 件 功 能 插 件 列 表 使 用   – l i s t - p l u g i n s 选 项 能 获 得 可 使 用 的 b i n w a l k 插 件 的 名 称 和 属 性 列 表 ： $   b i n w a l k   - - l i s t - p l u g i n s 启 用 插 件 功 能 一 些 插 件 在 默 认 情 况 下 是 禁 用 的 。 这 些 插 件 可 以 启 用 时 用 该 选 项   – e n a b l e - p l u g i n 选 项 $   b i n w a l k   - - e n a b l e - p l u g i n = f o o   f i r m w a r e . b i n 禁 用 插 件 功 能 一 些 插 件 在 默 认 情 况 下 是 启 用 的 。 这 些 插 件 可 以 禁 用 时 用 该 选 项   – d i a b l e - p l u g i n 选 项 $   b i n w a l k   - - d i s a b l e - p l u g i n = f o o   f i r m w a r e . b i n 或 者 ， 所 有 的 插 件 可 以 禁 用   ， 使 用 该 选 项 ： – d i s a b l e - p l u g i n s   选 项 : $   b i n w a l k   - - d i s a b l e - p l u g i n s   f i r m w a r e . b i n 日 志 记 录 功 能 B i n w a l k 日 志 输 出 通 常 是 很 大 ， 所 以 它 往 往 是 文 件 保 存 方 式 记 录 - f 选 项 允 许 你 指 定 一 个 日 志 文 件 。 需 要 注 意 的 是 ， 如 果 没 有 指 定 - Q 选 项 的 话 结 果 会 打 印 到 s t d o u t 以 及 日 志 文 件 。 $   b i n w a l k   - f   b i n w a l k . l o g   f i r m w a r e . b i n 日 志 文 件 可 以 C S V 格 式 保 存 $   b i n w a l k   - f   b i n w a l k . l o g   - - c s v   f i r m w a r e . b i n 升 级 功 能 通 过   m a g i c   f i l e s 和 配 置 文 件 ， 加 上 使 用   - u 选 项 b i n w a l k 依 靠 s v n   c h e c k - i n 功 能 轻 松 升 级 到 最 新 版 本 （ 需 要 r o o t 权 限 来 更 新 ） $   s u d o   b i n w a l k   - u 如 果 使 用 h t t p 代 理 功 能 ， 在 环 境 变 量 中 设 置 h t t p _ p r o x y 。 下 载 地 址 ： 下 载 地 址 ： h t t p : / / c o d e . g o o g l e . c o m / p / b i n w a l k /
原 文 链 接 ： h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 5 2 6 6 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理