CN111552511B - 一种VxWorks系统物联网固件解包恢复文件名的方法 - Google Patents

Abstract

本发明的VxWorks系统物联网固件解包恢复文件名的方法，包括：a).固件分析；b).特征字符串搜索；在未解压的原始固件中搜索是否含有“MINIFS”或者连续16个“ow”特征字符串；c).文件名定位；将特征字符串的位置记为position，偏移量记为offset；d).确定文件偏移，建立未恢复的文件名undefinefilei与文件名字符串filei的一一映射；e).解包并恢复文件名。本发明的固件文件名恢复方法，实现了对VxWorks系统物联网固件文件名的恢复，为对固件文件的进一步分析提供了必要前提。

Description

一种VxWorks系统物联网固件解包恢复文件名的方法

技术领域

本发明涉及一种固件解包恢复文件名的方法，更具体的说，尤其涉及一种VxWorks系统物联网固件解包恢复文件名的方法。

背景技术

随着物联网产业的快速发展，物联网设备逐渐广泛融入人们的生活中。然而，越来越多设备接入互联网，导致用户信息的安全性和隐私性的管理难度逐渐增加，一个暴露的设备可能会使整个生态系统容易受到攻击。物联网设备为创造价值提供了巨大机会，但也带来了重大风险。

为了预防潜在的攻击，需要对物联网设备固件进行逆向分析，发现潜在的固件漏洞并在后续的补丁中进行修复。对于固件的逆向分析，首先需要对其进行解包，获取具备可执行代码的文件和若干静态文件。其中具备可执行代码的文件指单个的内核文件或者多个具备完整运行功能的小型可执行文件，静态文件指固件运行时所必需的文件，如用于显示web界面的html文件、用于控制的脚本等。

目前对于VxWorks系统物联网固件的分析主要是对具备可执行代码的文件的分析，而对静态文件的分析相对不足，从而错失了很多通过脚本代码审计、敏感文件识别等方法寻找漏洞的机会。主要原因在于VxWorks系统物联网固件的解包过程无法恢复文件名，不能判断文件的功能，从而阻碍了VxWorks系统物联网固件的分析过程。

发明内容

本发明为了克服上述技术问题的缺点，提供了一种VxWorks系统物联网固件解包恢复文件名的方法。

本发明的VxWorks系统物联网固件解包恢复文件名的方法，其特征在于，通过以下步骤来实现：

a).固件分析；使用固件解包工具对VxWorks系统物联网设备的固件进行分析，如果固件采用的压缩方式为lzma压缩，则解压后的文件名为文件在固件静态文件中的十六进制偏移地址，此时的文件名为未恢复的文件名，无法采用常规的方法恢复出文件名，执行步骤b)；

b).特征字符串搜索；在未解压的原始固件中搜索是否含有“MINIFS”或者连续16个“ow”特征字符串，如果不含有，则表明无法采用本发明的方法恢复出文件名；如果含有，则表明采用本发明的方法可以恢复出文件名，执行步骤c)；

c).文件名定位；将特征字符串“MINIFS”或者连续16个“ow”在原始固件中的位置记为position，特征字符串之后为n个文件名字符串；对于连续出现16个“ow”的固件，其文件名和偏移量的获取方法为：从16个“ow”特征字符串的起始位置position加44个字节算起，每48个字节为一个文件名块，每个文件名块中的开头至非英文字母出现为止为文件名字符串file、最后两个字节为偏移量offset；

对于出现“MINIFS”的固件，其文件名和偏移量的获取方法为：从“MINIFS”特征字符串的起始位置position加24个字节算起，每88个字节为一个文件名块，每个文件名块中的开头4个字节为偏移量offset、第5个字节至非英文字母出现为止为文件名字符串file；

d).确定文件偏移，根据未恢复的文件名所表示的十六进制等于特征字符串的起始位置position与偏移量offset之和，利用公式（1）求出每个文件名块所对应的未恢复的文件名undefinefilei所表示的十六进制数：

undefinefilei=position+offseti （1）

其中，undefinefilei表示文件名块i所对应的未恢复的文件名，offseti表示文件名块i的偏移量；

记filei为文件名块i中所包含的文件名，建立未恢复的文件名undefinefilei与文件名字符串filei的一一映射；

e).解包并恢复文件名，利用固件解包工具对原始固件进行解包，获得十六进制文件名，记文件名为unfilei，所有未恢复的文件名的集合为{unfile1，unfile2，…，unfilei…，unfilen}，n为正整数；通过遍历查找的方式，查找出与集合{unfile1，unfile2，…，unfilei…，unfilen}中元素filei相等的undefinefilej，将filei替换为undefinefilej所对应的文件名字符串filej，即实现了固件静态文件名恢复。

本发明的VxWorks系统物联网固件解包恢复文件名的方法，步骤a)和步骤e)中所述的固件解包工具为binwalk、firmware-mod-kit或lzma解包工具。

3．根据权利要求1或2所述的VxWorks系统物联网固件解包恢复文件名的方法，其特征在于，步骤c)中，对于连续出现16个“ow”的固件，其文件名和偏移量的获取方法为：

c-1).首先对16个“ow”特征字符串出现的起始位置position进行加44操作，并将执行加操作后的数值赋值给offset，执行步骤c-2)；

c-2).然后判断offset是否小于字符串5A000080出现的地址，如果小于，则执行步骤c-3)；如果不小于，表明固件静态文件中的文件名块查找完毕，结束文件名和偏移量的查找；

c-3).将以地址offset开始的字符串所代表的文件名赋值给filei，filei表示第i个文件块中所含有的文件名，然后对offset执行加46操作，执行步骤c-4)；

c-4).然后将起始位置position加上以offset为起始地址所存储的2个字节的十六进制数，并将结果赋值给unfilei，unfilei即为第i个未恢复的文件名；然后将offset执行加2操作，并赋值给其本身；执行步骤c-2)；

直至所有的文件名和偏移量获取完毕。

本发明的VxWorks系统物联网固件解包恢复文件名的方法，步骤c)中，对于出现MINIFS的固件，其文件名和偏移量的获取方法为：

c-a).首先对“MINIFS”特征字符串出现的起始位置position进行加20操作，并将执行加操作后的数值赋值给offset，执行步骤c-b)；

c-b).然后判断offset是否小于字符串5A000080出现的地址减去88，如果小于，则执行步骤c-c)；如果不小于，表明固件静态文件中的文件名块查找完毕，结束文件名和偏移量的查找；

c-c).将以地址offset+8开始的字符串所代表的文件名赋值给filei，filei表示第i个文件块中所含有的文件名，执行步骤c-d)；

c-d). 然后将起始位置position加上以offset为起始地址所存储的2个字节的十六进制数，并将结果赋值给unfilei，unfilei即为第i个未恢复的文件名；然后将offset执行加84操作，并赋值给其本身；执行步骤c-b)；

直至所有的文件名和偏移量获取完毕。

本发明的有益效果是：本发明的VxWorks系统物联网固件解包恢复文件名的方法，根据VxWorks系统物联网固件解压后的文件名为十六进制偏移地址，且该偏移地址等于未解压固件中特征字符“MINIFS”或16个“ow”出现的起始地址position与文件块中所存储偏移量offset之和，文件块中所存储的文件名filei为所要恢复的文件名，根据这一原则，首先查找是否有特征字符“MINIFS”或16个“ow”出现，然后再建立“起始地址position+每个文件块中的偏移”地址所得的未恢复的文件名undefinefilei，与相应文件块中所包含的文件名的一一对应关系。然后，在文件名的恢复过程中，首先获得解压后的十六进制的文件名unfilei，通过查找与十六进制文件名unfilei相等的undefinefilej，undefinefilej所对应的文件块中存储的文件名filej记为要恢复的文件名，这样实现了对VxWorks系统物联网固件文件名的恢复，为对固态文件的进一步分析提供了必要前提。

附图说明

图1为使用传统方法进行VxWorks系统物联网固件解包后文件名的示意图；

图2为本发明的方法进行VxWorks系统物联网固件解包恢复文件名的原理图；

图3为本发明中特征字符串为16个“ow”的固件的文件名字符串与对应的偏移量；

图4为特征字符串为“MINIFS”的固件的文件名字符串与对应的偏移量。

具体实施方式

下面结合附图与实施例对本发明作进一步说明。

如图1所示，给出了使用传统方法进行VxWorks系统物联网固件解包后文件名的示意图，使用传统固件解包方法对lzma压缩结构的VxWorks系统物联网固件进行解包之后，可以得到若干解压之后的文件，但是文件名没有正确的恢复，仅仅显示为十六进制数字，不利于后续的分析工作。

如图2所示，给出了本发明的方法进行VxWorks系统物联网固件解包恢复文件名的原理图，VxWorks系统物联网固件进行解包之后，其十六进制的文件名等于未解压固件中特征字符“MINIFS”或16个“ow”出现的起始地址position与文件块中所存储偏移量offset之和。首先需要确定固件中是否包含文件名字符串集合，可以通过搜索特定的特征字符串“MINIFS”或16个“ow”来实现，将此特征字符串的位置记为position；随后需要定位字符串集合的位置，两种特征字符串所代表的固件类型都有各自的offset，通过特征字符串位置position向后偏移这个offset定位到字符串集合，每个文件块均由各自的offset和文件名，对于每个字符串，都一一对应一个文件名偏移offset，将此字符串的offset与特征字符串的位置position相加，就会得到若干十六进制的数字，正是传统解压流程中未恢复的文件名。因此，根据前面一一对应的文件名字符串，可以把未恢复的文件名进行恢复。

本发明的的文件名恢复方法适用于部分使用传统固件解包方式后无法得知解压后的文件名的VxWorks系统物联网固件，传统固件解包方式包括但不限于binwalk、firmware-mod-kit等。组成固件的静态文件的压缩方式采用lzma压缩，其十六进制magicnumber为“5A000080”，以此区分各个不同的文件。标明固件文件类型的特征字符串有两种，第一种为“owowowowowowowowowowowowowowowow”，由“ow”字符串自循环16次组成；第二种特征字符串为“MINIFS”。若VxWorks固件中包含上述两种特征字符串中的一种，则可以应用本文阐述的方法。

如图3所示，给出了本发明中特征字符串为16个“ow”的固件的文件名字符串与对应的偏移量，其为16个“ow”类型的固件，特征字符串之后的44个字节为文件名字符串的开头位置。每个文件名块为48字节的长度，包括明文的文件名、十六进制的文件偏移信息。48个字节当中，开头是文件名字符串，最后两个字节表明了偏移量offset，其余部分使用“0”进行补齐。由ASCII字符代码表可知，十六进制“6F”表示字母“o”，“77”表示字母“w”，图3中的第一行至第三行出现了16个连续的“6F 77”，即16个“ow”，从出现“ow”的起始位置算子，第44个字节为文件字符串的开头位置，即第四行开始为第一个文件块中所包含的文件名，第四行中的“63 6F 6D 6F 6E 2E 6A 73”应为“common.js”，以16个“ow”起始位置加上偏移量“1E 8C”所对应的十六进制，为未恢复文件名文件名，该为文件的名称为common.js，因此可见建立未恢复的文件名与文件名字符串的一一映射，通过查找即恢复出固件文件的文件名。

如图4所示，给出了特征字符串为“MINIFS”的固件的文件名字符串与对应的偏移量，“MINIFS”类型的固件，特征字符串之后的20个字节为文件名块的开头位置。每个文件名块为88个字节的长度，包括明文的文件名、十六进制的文件偏移等信息。88个字节当中，前4个字节表明了偏移量offset，后面是文件名字符串，其余部分使用“0”进行补齐。第一行出现的“4D 49 4E 49 46 53”为特征字符串“MINIFS”的ASCII码，其之后的20个字节为文件名块的开头位置，前四个字节“00 01 6D 68”为第一个文件名块的偏移地址，第三行的开始至第四行的“72”为文件名，依次类推。

可见，在每个文件名字符串集合中，文件名与该文件在原始固件中的偏移位置offset一一对应。以特征字符串（“ow”*16,“MINIFS”）的位置为基准，分别与每个文件名字符串集合中的十六进制偏移offset求和可得文件在固件中的偏移位置，此时未恢复的文件名与文件名字符串之间的一一映射关系就建立了。使用binwalk、firmware-mod-kit、lzma等具对原始固件进行解包，获得默认文件名为固件偏移的多个静态文件，根据上一步中文件名与偏移的对应关系进行恢复。

如下面程序伪代码所示，给出了对含有16个“ow”特征字符的固件恢复文件名的伪代码：

function repair_filename_ow16(firmware, dir)

magic ← 'ow'*16

firmfile ← open(firmware)

content ← read(firmfile)

if magic in content then

position ← get_position(content, 'ow'*16)

offset ← position + 44

end ← get_position(content, '5A000080')

while offset < end do

filename ← content[offset]

offset ← offset + 46

original = position + content[offset]

for file in dir do

if file == original do

file ← filename

end if

end for

offset ← offset + 2

end while

end if

end function

如下面程序伪代码所示，给出了对含MINIFS特征字符的固件恢复文件名的伪代码：

function repair_filename_minifs(firmware, dir)

magic ← 'MINIFS'

firmfile ← open(firmware)

content ← read(firmfile)

if magic in content then

position ← get_position(content, 'MINIFS')

offset ← position + 20

end ← get_position(content, '5A000080')

while offset < end - 88 do

filename ← content[offset + 8]

original = position + content[offset]

for file in dir do

if file == original do

file ← filename

end if

end for

offset ← offset + 84

end while

end if

end function。

Claims (4)

1.一种VxWorks系统物联网固件解包恢复文件名的方法，其特征在于，通过以下步骤来实现：

a).固件分析；使用固件解包工具对VxWorks系统物联网设备的固件进行分析，如果固件采用的压缩方式为lzma压缩，则解压后的文件名为文件在固件静态文件中的十六进制偏移地址，此时的文件名为未恢复的文件名，无法采用常规的方法恢复出文件名，执行步骤b)；

b).特征字符串搜索；在未解压的原始固件中搜索是否含有“MINIFS”或者连续16个“ow”特征字符串，如果不含有，则表明无法采用所述的方法恢复出文件名；如果含有，则表明采用所述的方法可以恢复出文件名，执行步骤c)；

c).文件名定位；将特征字符串“MINIFS”或者连续16个“ow”在原始固件中的位置记为position，特征字符串之后为n个文件名字符串；对于连续出现16个“ow”的固件，其文件名和偏移量的获取方法为：从16个“ow”特征字符串的起始位置position加44个字节算起，每48个字节为一个文件名块，每个文件名块中的开头至非英文字母出现为止为文件名字符串file、最后两个字节为偏移量offset；

对于出现“MINIFS”的固件，其文件名和偏移量的获取方法为：从“MINIFS”特征字符串的起始位置position加24个字节算起，每88个字节为一个文件名块，每个文件名块中的开头4个字节为偏移量offset、第5个字节至非英文字母出现为止为文件名字符串file；

d).确定文件偏移，根据未恢复的文件名所表示的十六进制等于特征字符串的起始位置position与偏移量offset之和，利用公式（1）求出每个文件名块所对应的未恢复的文件名undefinefilei所表示的十六进制数：

undefinefilei=position+offseti （1）

其中，undefinefilei表示文件名块i所对应的未恢复的文件名，offseti表示文件名块i的偏移量；

记filei为文件名块i中所包含的文件名，建立未恢复的文件名undefinefilei与文件名字符串filei的一一映射；

e).解包并恢复文件名，利用固件解包工具对原始固件进行解包，获得十六进制文件名，记文件名为unfilei，所有未恢复的文件名的集合为{unfile1，unfile2，…，unfilei…，unfilen}，n为正整数；通过遍历查找的方式，查找出与集合{unfile1，unfile2，…，unfilei…，unfilen}中元素filei相等的undefinefilej，将filei替换为undefinefilej所对应的文件名字符串filej，即实现了固件静态文件名恢复。

2.根据权利要求1所述的VxWorks系统物联网固件解包恢复文件名的方法，其特征在于，步骤a)和步骤e)中所述的固件解包工具为binwalk、firmware-mod-kit或lzma解包工具。

3.根据权利要求1或2所述的VxWorks系统物联网固件解包恢复文件名的方法，其特征在于，步骤c)中，对于连续出现16个“ow”的固件，其文件名和偏移量的获取方法为：

c-1).首先对16个“ow”特征字符串出现的起始位置position进行加44操作，并将执行加操作后的数值赋值给offset，执行步骤c-2)；

c-2).然后判断offset是否小于字符串5A000080出现的地址，如果小于，则执行步骤c-3)；如果不小于，表明固件静态文件中的文件名块查找完毕，结束文件名和偏移量的查找；

c-3).将以地址offset开始的字符串所代表的文件名赋值给filei，filei表示第i个文件块中所含有的文件名，然后对offset执行加46操作，执行步骤c-4)；

c-4).然后将起始位置position加上以offset为起始地址所存储的2个字节的十六进制数，并将结果赋值给unfilei，unfilei即为第i个未恢复的文件名；然后将offset执行加2操作，并赋值给其本身；执行步骤c-2)；

直至所有的文件名和偏移量获取完毕。

4.根据权利要求1或2所述的VxWorks系统物联网固件解包恢复文件名的方法，其特征在于，步骤c)中，对于出现MINIFS的固件，其文件名和偏移量的获取方法为：

c-a).首先对“MINIFS”特征字符串出现的起始位置position进行加24操作，并将执行加操作后的数值赋值给offset，执行步骤c-b)；

c-b).然后判断offset是否小于字符串5A000080出现的地址减去88，如果小于，则执行步骤c-c)；如果不小于，表明固件静态文件中的文件名块查找完毕，结束文件名和偏移量的查找；

c-c).将以地址offset+5开始的字符串所代表的文件名赋值给filei，filei表示第i个文件块中所含有的文件名，执行步骤c-d)；

c-d). 然后将起始位置position加上以offset为起始地址所存储的2个字节的十六进制数，并将结果赋值给unfilei，unfilei即为第i个未恢复的文件名；然后将offset执行加84操作，并赋值给其本身；执行步骤c-b)；

直至所有的文件名和偏移量获取完毕。

Images