物联网漏洞挖掘与利用：方法、技巧和案例 ChaMd5安全团队 pdf下载

（1）作者背景资深：ChaMd5安全团队在国内非常知名，团队成员来自阿里、滴滴、启明星辰、绿盟、知道创宇、奇安信、360、陌陌、安恒、丈八网安等安全公司。 （2）理论实践结合：本书由来自物联网工业界和学术界的10余位专家共同完成，融合了他们在工业界的实践经验和学术界的研究成果。 （3）以实战为主导：详解各种物联网漏洞挖掘与利用的方法，结合大量案例；同时还讲解了车联网、工控等热门领域的物联网漏洞挖掘与利用。 （4）19位专家推荐：中关村实验室、之江实验室、紫金山实验室、京东、滴滴、浙江大学等企业、高校和安全组织的19位知名专家力荐。 （5）零基础快入门：即便读者没有任何物联网基础或安全技术基础，也能通过本书掌握相关基础知识以及常见物联网漏洞的挖掘与利用。

伴随着万物互联的时代背景，物联网安全愈发值得关注，但物联网安全研究需要的知识面更加广泛、内容更加丰富，初学者的学习难度较大。本书是一本面向初学者的物联网漏洞挖掘与利用的实战宝典。作者融合丰富的工作、科研与实战经验，详细阐述物联网漏洞挖掘与利用的各方面知识，进而提高学习人员的物联网安全实战经验。本书对物联网安全研究所需知识进行了系统的梳理与总结，通过阅读本书，你将获得以下方面的知识。 ?物联网测试环境搭建，掌握物联网安全研究需要的硬件、软件测试工具。 ?掌握物联网安全研究聚焦的硬件协议，掌握其工作原理与安全风险。 ?通过物联网协议及漏洞示例，掌握物联网协议层漏洞的挖掘与利用技巧。 ?掌握固件获取的几种主流方式，并掌握固件模拟的常见方法。 ?掌握固件加解密的常见方法。 ?掌握固件常见的文件系统，并掌握固件重打包的常用方法。 ?掌握常见的中间件实现原理及历史漏洞，掌握常见的基址恢复与符号恢复方法。 ?掌握常见的物联网漏洞类型及利用方式，并掌握漏洞复现所需要的环境搭建方法。 ?掌握自动化漏洞挖掘的常见手段，并掌握其在物联网安全中的应用。 ?通过分析实际物联网设备的漏洞挖掘实例，掌握从逆向分析到漏洞利用、后门植入的流程与方法。 ?掌握车联网的基本知识及常见攻击面。 ?掌握物联网中常见的信息收集工具与信息收集方法，并掌握固件中关键信息的分析方法。 ?掌握物联网中常见的权限维持方法，掌握基本的后门制作方法。 ?掌握物联网中常见的攻击后藏匿方式。 ?通过工控安全的具体攻击事件，掌握物联网工控安全的基本知识及常见分析手段。

ChaMd5安全团队成立于2016年，专注于算法加解密、安全漏洞挖掘、CTF竞赛及安全人才培养，团队成员200余人，分别来自阿里、滴滴、启明星辰、绿盟、知道创宇、奇安信、永信至诚、360、陌陌、牛盾、安恒、丈八网安等安全公司，也有部分在校学生与自由职业者，已出版书籍《CTF实战：技术、解题与进阶》、《ARM汇编与逆向工程》、《x86软件逆向工程》。
自团队成立以来，曾荣获来自华为、蚂蚁金服、百度、京东、滴滴、微软和苹果等多家企业的致谢，向企业报告的漏洞10w+。团队成员也曾多次在企业CTF赛事中获奖。ChaMd5安全团队为维护企业安全建设而成立，竭尽全力培养安全人才，服务于各大企业。

Contents　目　　录　
本书赞誉
前言
第1章　IoT测试环境搭建1
1.1　硬件测试工具1
1.1.1　万用表1
1.1.2　逻辑分析仪2
1.1.3　热风枪2
1.1.4　USB-TTL2
1.1.5　Jlink2
1.1.6　FipperZero3
1.2　测试软件的安装3
1.2.1　VMware3
1.2.2　Ubuntu6
1.2.3　Binwalk9
1.2.4　QEMU11
1.2.5　Ghidra12
第2章　硬件协议介绍15
2.1　UART协议15
2.2　SPI协议17
2.3　I2C协议18
2.4　JTAG协议20
2.5　CAN协议20
第3章　常见的IoT协议及漏洞
　　　　实例22
3.1　常见的IoT协议22
3.1.1　HTTP22
3.1.2　UPnP和SSDP 23
3.1.3　SNMP23
3.1.4　RTSP 24
3.1.5　MQTT协议24
3.2　协议漏洞实例24
3.2.1　Vivotek摄像头HTTP缓冲
　　　区溢出漏洞24
3.2.2　NETGEAR路由器SSDP
　　　缓冲区溢出漏洞32
第4章　固件获取37
4.1　固件的概念37
4.2　固件获取方式38
4.2.1　从互联网上获取固件38
4.2.2　从升级接口中获取固件39
4.2.3　从历史漏洞中获取固件41
4.2.4　使用编程器读取固件42
4.2.5　从串口中获取固件44
4.3　固件模拟47
4.3.1　使用QEMU进行固件模拟47
4.3.2　使用EMUX进行固件模拟55
4.3.3　使用官方自带的虚拟机进行
　　　固件模拟57
4.3.4　使用Firmae工具进行固件
　　　模拟58
4.3.5　使用FAP工具进行固件模拟60
第5章　固件加解密62
5.1　固件加密发布模式62
5.1.1　情况一62
5.1.2　情况二62
5.1.3　情况三63
5.2　利用过渡版本解密固件64
5.2.1　官网分析固件发布说明64
5.2.2　利用过渡版本解密固件64
5.2.3　提取解密后的固件68
5.3　解密弱加密固件70
5.3.1　分析固件70
5.3.2　猜测加密算法并解密72
5.3.3　提取解密后的固件72
第6章　常见的固件文件系统74
6.1　常见的文件系统类型74
6.1.1　YAFFS类型的文件系统76
6.1.2　UBIFS类型的文件系统76
6.1.3　JFFS类型的文件系统77
6.1.4　SquashFS类型的文件系统77
6.1.5　基于块设备的文件系统78
6.2　文件系统的特征79
6.2.1　分析文件系统79
6.2.2　提取固件中的文件系统91
6.3　固件重打包101
6.3.1　固件分析、校验与打包102
6.3.2　后门植入109
6.3.3　嵌入式设备重打包111
第7章　常见的中间件112
7.1　常见的Web服务器　 112
7.1.1　GoAhead 112
7.1.2　mini_httpd 118
7.1.3　Boa 123
7.2　基址恢复129
7.2.1　分析头部初始化代码恢复
　　　固件加载基址129
7.2.2　根据绝对地址恢复固件加
　　　载基址131
7.2.3　根据字符串偏移恢复固件
　　　加载基址133
7.3　符号恢复135
7.3.1　基于符号表的符号恢复136
7.3.2　基于签名文件或比对的
　　　符号恢复139
7.3.3　基于LLM的符号恢复140
第8章　常见的漏洞类型及利用
　　　　方式141
8.1　环境初始化搭建141
8.1.1　DrayTek Vigor 2960服务
　　　模拟141
8.1.2　FortiGate VM 7.2.1固件
　　　提取及环境仿真150
8.2　逻辑漏洞157
8.2.1　CLI认证绕过漏洞157
8.2.2　路径穿越导致的任意文件
　　　读取漏洞162
8.3　命令注入漏洞166
8.3.1　TOTOLink NR1800X命令
　　　注入漏洞167
8.3.2　OpModeCfg命令注入漏洞172
8.3.3　UploadFirmwareFile命令
　　　注入漏洞174
8.4　缓冲区溢出漏洞175
8.4.1　堆溢出漏洞175
8.4.2　栈溢出漏洞181
8.5　格式化字符串漏洞184
第9章　自动化漏洞挖掘186
9.1　模糊测试186
9.1.1　技术原理介绍187
9.1.2　HTTP报文种子获取189
9.1.3　多种类型的漏洞触发监控
　　　方案191
9.1.4　实战应用192
9.2　污点分析193
9.2.1　技术原理介绍194
9.2.2　实战应用195
9.3　基于图查询的静态漏洞挖掘198
9.3.1　技术原理介绍198
9.3.2　实战应用198
第10章　网络设备漏洞挖掘实例202
10.1　Cisco RV340路由器命令执行
　　　漏洞分析202
10.2　Netgear R8300路由器栈溢出
　　　漏洞分析214
10.3　TPLink WPA8630命令注入
　　　漏洞分析222
10.4　华硕AC3200路由器固件结
　　　构研究229
第11章　车联网235
11.1　电子电气架构设计235
11.2　车联网电子控制单元237
11.3　车联网攻击面239
第12章　固件中的信息收集242
12.1　固件信息收集工具242
12.1.1　Firmware-mod-kit 242
12.1.2　Firmwalker 243
12.1.3　FwAnalyzer243
12.1.4　EMBA244
12.1.5　FACT245
12.1.6　Linux系统工具245
12.1.7　逆向分析工具247
12.1.8　文件系统操作工具248
12.2　固件信息收集方法248
12.2.1　芯片信息收集和调试接口249
12.2.2　固件获取的常用方式257
12.2.3　文件系统264
12.2.4　HTTP服务266
12.3　固件中的关键信息268
第13章　维持272
13.1　使用MSF反弹shell272
13.1.1　paylaod生成272
13.1.2　获取shell274
13.2　制作稳定后门275
13.2.1　使用Go语言进行反弹shell275
13.2.2　使用Go语言进行代理转发282
13.2.3　使用Go语言进行shell维持287
13.2.4　端口复用288
13.2.5　预埋后门与固件重打包291
第14章　藏匿300
14.1　进程隐藏300
14.1.1　Linux进程查询原理300
14.1.2　基础级进程隐藏303
14.1.3　应用级进程隐藏305
14.1.4　内核级进程隐藏308
14.2　权限控制312
14.2.1　Webshell313
14.2.2　用户级权限控制314
14.3　实例讲解315
14.3.1　Cisco IOS XE Webshell
　　　　后门315
14.3.2　高隐蔽级Rootkit实现319
第15章　物联网工控安全——攻击
　　　　　事件模拟322
15.1　摄像头引起的工控攻击事件322
15.1.1　物联网设备资产扫描及
　　 　分析322
15.1.2　摄像头漏洞利用与钓鱼
　　 　攻击324
15.1.3　内网代理与横向扫描330
15.1.4　漏洞利用与权限提升332
15.1.5　PLC系统攻击337
15.2　防火墙漏洞与敏感数据泄露342
15.2.1　防火墙漏洞的发现与
　　　　利用342
15.2.2　内网扫描与路由器漏洞
　　 　利用347
15.2.3　内网添加路由350
15.2.4　敏感数据窃取352

前　　言　Preface
为什么要写这本书
记得约20年前，网络安全的重心还在传统信息系统、软件以及网站安全等方向上。随着网络重心的偏移，传统信息系统开始向着物联网（IoT）领域发生结构性迁移。为何会产生这样的变化？这里存在多种客观原因。一方面，智能设备的数量高速增长，由数十亿设备构成的“物理-数字融合”新型网络，其应用范围越发广泛；另一方面，网络安全防御在传统领域中一直处于“矛与盾的螺旋升级”状态，传统防御已经进化到AI驱动的主动威胁狩猎，攻击和防御的投入比例差距越来越大。针对IoT设备的零日攻击数量也急剧增长，许多安全研究人员将目光投向了IoT设备。当防御者还在使用AI对抗钓鱼邮件时，黑客已经通过路由器、摄像头等设备的漏洞构建了新型僵尸网络来发动攻击……
当我初次将研究目标转向IoT设备时，认为传统信息系统的分析手段可以直接迁移应用。然而，随着对硬件协议、固件逆向、工控系统等领域的深入探索，我逐渐意识到：物联网安全涉及的知识与内容更加丰富，依赖顶层到底层、前端到后端、软件到硬件的多样化知识。传统的工具和技术固然重要，但真正的核心在于对IoT设备安全的系统性理解。我与许多初学者一样，曾陷入“工具依赖”的误区，或者被碎片化、多样化的知识阻挡在实践的门槛之外。
本书的诞生，源于我在实践中的困惑与突破。从搭建测试环境的烦琐，到破解固件加密的挫败，再到最后实现技术突破、发现漏洞时的兴奋，这些经历让我意识到，物联网安全领域亟需一本既能串联技术链条，又能深入讲解实战细节的指南。现有的资料或偏重理论，或局限于某些技术点，而物联网设备漏洞挖掘的本质恰恰在于对跨领域知识的融合与灵活应用。
在物联网漏洞研究过程中，我还非常感谢许多开源力量。无论是模拟调试工具、固件分析脚本，还是针对各类实际网络设备的安全机制研究，都离不开众多安全研究者的无私分享。这种协作与共享的精神，正是推动这个行业技术进步的源泉。书中的许多工具与案例都是开源智慧的结晶，我也希望通过本书，将这种开放、协作的研究理念传递给更多的从业者。
知识本应流动，技术终须共享，这是提高网络安全能力、推动网络安全建设的动力来源。愿本书成为你探索物联网安全之路的起点，也期待未来能与你在此领域中并肩前行。
读者对象
物联网安全研究人员：希望系统掌握硬件、协议、固件全链条漏洞挖掘技术的研究人员；
渗透测试工程师：希望提高对物联网设备、工控等系统评估能力的实战人员；
企业安全团队：为企业物联网设备建立安全评估流程的研究人员；
固件开发与测试人员：从安全视角理解固件设计缺陷的开发人员；
工控、车联网等特定领域的安全人员；
高校网络安全专业师生；
其他技术爱好者。
本书内容
本书共分为15章。具体内容如下：
第1章为IoT测试环境搭建，主要介绍物联网安全研究的实验环境构建方法，包括硬件测试工具、测试软件的安装等。
第2章为硬件协议介绍，聚焦物联网硬件通信协议，分析其工作原理与安全风险。
第3章为常见的IoT协议及漏洞实例，深入剖析常见的IoT协议原理，并给出案例展示协议层漏洞的挖掘与利用技巧。
第4章为固件获取，讲解固件获取的几种主流方式，并介绍固件模拟的几种常见方法。
第5章为固件加解密，总结固件的常见加密方法及解密方法。
第6章为常见的固件文件系统，解析IoT设备常见文件系统的结构，分析文件系统的相关特征，并总结固件重打包的方法。
第7章为常见的中间件，总结IoT设备中常见中间件的实现原理及存在的历史漏洞，总结常见的基址恢复与符号恢复方法。
第8章为常见的漏洞类型及利用方式，系统化总结环境搭建方式，并介绍逻辑漏洞、命令注入漏洞、缓冲区溢出漏洞、格式化字符串漏洞等在IoT场景下的分析与利用方法。
第9章为自动化漏洞挖掘，介绍模糊测试与污点分析技术在IoT协议和固件中的应用。
第10章为网络设备漏洞挖掘实例，以不同品牌的IoT设备为例，介绍从固件逆向分析到漏洞利用、后门植入等全流程实战。
第11章为车联网，主要介绍电子电气架构设计、车联网电子控制单元等基本知识，并分析车联网中的常见攻击面。
第12章为固件中的信息收集，探讨固件中常见的信息收集工具与信息收集方法，并对固件中的关键信息进行总结与分析。
第13章为维持，主要介绍如何获取shell与制作稳定后门。
第14章为藏匿，主要总结进程隐藏、权限控制等常见方法，并给出相关具体实例。
第15章为物联网工控安全——攻击事件模拟，复现摄像头引起的工控攻击事件，并介绍由边界防火墙漏洞带来的实际攻击事件。
勘误和支持
由于作者的水平有限，书中难免会出现一些错误或者不准确的地方，恳请读者批评指正。书中的任何疑问都可以通过微信公众号“ChaMd5安全团队”进行反馈。如果有更多的宝贵意见，也欢迎发送邮件至邮箱admin@chamd5.org，期待能够收到你们的来信。
致谢
本书的编写工作是由ChaMd5 IoT组的成员完成的。其中，第1、2、11章由Vinadiak（叶振涛）负责，第3章由fxc233（费新程）负责，第4章由天气预报（唐君毅）负责，第5、13章由春秋代序负责，第6、9章由ZoE负责，第7、10、14章由Sezangel负责，第8章由Gir@ffe（李俊岑）负责，第12章由满眼星光负责，第15章由we8（闫俊）负责。
首先要感谢ChaMd5 IoT组所有一起交流学习的伙伴，正是因为彼此的交流，才让大家迸发出更多的灵感和火花，他们是L1n3、pcat、lxonz、licae、zyen、VinceKT、Minhal、badmonkey、F0und、ibuli、G3n3rous、bingo、G3n3rous、柘狐、99977、ic3blac4、饭饭、wmsuper、天河、Cyberangel、who4mi、c4se、Thanos、止、赤道企鹅、色豹、唐仔橙、Rivaille、1angd0n、去码头整点薯条、vontee、ve1kcon等。
此外，感谢xuanxuanblingbling、cq674350529、swing、Catalpa、Re1own、H4lo、winmt等无私分享了IoT相关技术并提供支持。最后，感谢其他在博客、平台上分享技术文章的创新者，各类发布优质内容的公司、网站与平台，以及名单之外的更多朋友。

M
2025年4月15日