QEMU 8.2与Chroot深度实战：固件解密程序提取与运行全流程解析

1. 固件解密技术背景与实战价值

在嵌入式设备安全研究领域，获取未加密的固件文件系统是进行漏洞挖掘和逆向分析的基础前提。然而，随着设备厂商安全意识的提升，越来越多的新版固件采用了加密措施。据统计，2023年发布的物联网设备中，采用加密固件的比例已达到67%，较前一年增长23%。面对这一趋势，安全研究人员需要掌握从历史版本固件中提取解密程序的核心技术。

传统固件解密方法主要分为三类：

• 硬件提取：通过JTAG/UART接口直接读取存储芯片
• 网络拦截：捕获设备OTA升级过程中的传输数据
• 加密逆向：分析固件加密算法并编写解密脚本

而本方案采用的固件内解密程序提取方法，具有以下独特优势：

1. 可靠性高：直接使用设备厂商开发的解密工具，避免算法逆向误差
2. 通用性强：同一厂商不同型号设备往往使用相同解密逻辑
3. 效率突出：省去复杂的加密算法分析过程

以D-Link DIR-882路由器为例，其固件版本迭代过程呈现典型的三阶段特征：

v1.00B07 (未加密) → v1.04B02 (含解密程序) → v1.30B05 (加密版本)

通过分析中间过渡版本，我们可以获取完整的解密工具链。

2. 环境准备与工具链配置

2.1 基础环境要求

进行本实验需要准备以下环境：

• 宿主系统：Ubuntu 22.04 LTS（内核版本5.15+）
• 处理器架构：x86_64（需支持硬件虚拟化）
• 内存容量：至少8GB（处理大型固件时建议16GB）
• 存储空间：50GB可用空间（用于存放固件和文件系统）

关键工具版本要求：

# 验证工具版本 qemu-system-x86_64 --version # 需 ≥ 8.2 binwalk -v # 需 ≥ 2.3.3 chroot --version # 需 ≥ 2.34

2.2 QEMU静态编译与配置

为运行不同架构的解密程序，需要编译安装多架构QEMU静态版本：

# 安装依赖 sudo apt install build-essential git libglib2.0-dev libfdt-dev \ libpixman-1-dev zlib1g-dev ninja-build # 下载源码 git clone https://gitlab.com/qemu-project/qemu.git cd qemu && git checkout v8.2.0 # 编译静态版本 ./configure --static --enable-system --target-list="arm-linux-user,aarch64-linux-user,mips-linux-user,mipsel-linux-user" make -j$(nproc)

编译完成后，关键二进制文件位于：

• ./build/arm-linux-user/qemu-arm
• ./build/aarch64-linux-user/qemu-aarch64
• ./build/mips-linux-user/qemu-mips

2.3 目标固件获取与预处理

从厂商官网下载不同版本的固件文件：

wget http://firmware.dlink.com/DIR882A1_FW104B02_Middle_FW_Unencrypt.bin wget http://firmware.dlink.com/DIR882A1_FW110B02.bin wget http://firmware.dlink.com/DIR882A1_FW130B05.bin

使用binwalk进行初步分析：

binwalk DIR882A1_FW104B02_Middle_FW_Unencrypt.bin # 输出示例 DECIMAL HEXADECIMAL DESCRIPTION -------------------------------------------------------------------------------- 0 0x0 uImage header, header size: 64 bytes... 1024 0x400 LZMA compressed data... 1048576 0x100000 Squashfs filesystem...

3. 文件系统提取与解密程序定位

3.1 完整文件系统提取

使用binwalk递归提取固件内容：

binwalk -Me DIR882A1_FW104B02_Middle_FW_Unencrypt.bin

提取完成后，文件系统通常位于_xxxx.extracted目录下。典型的路由器文件系统结构如下：

/squashfs-root/ ├── bin ├── etc ├── lib ├── sbin ├── usr └── var

3.2 解密程序识别技巧

在文件系统中定位解密程序的方法：

1. 关键词搜索法：

grep -r "decrypt" ./squashfs-root 2>/dev/null

2. 特征文件检查：

• /bin/目录下的可疑二进制文件
• /usr/sbin/中的设备管理程序
• 固件更新相关脚本（通常包含fwupdate、upgrade等关键词）

3. 功能验证法： 对候选程序进行运行测试，观察是否产生解密行为

在DIR-882案例中，我们定位到关键解密程序：

/squashfs-root/bin/imgdecrypt

3.3 程序依赖项分析

使用ldd命令检查动态链接库依赖：

ldd ./squashfs-root/bin/imgdecrypt

典型输出示例：

not a dynamic executable

或

libcrypto.so.1.1 => not found libssl.so.1.1 => not found

对于缺失的库文件，需要从目标文件系统的/lib目录复制到宿主机的对应位置。

4. QEMU-Chroot跨架构执行方案

4.1 静态编译QEMU部署

将编译好的QEMU静态二进制文件复制到目标文件系统：

cp qemu-mipsel ./squashfs-root/usr/bin/ chmod +x ./squashfs-root/usr/bin/qemu-mipsel

4.2 Chroot环境配置

创建必要的设备节点和挂载点：

sudo mknod -m 666 ./squashfs-root/dev/null c 1 3 sudo mknod -m 666 ./squashfs-root/dev/random c 1 8 sudo mount -o bind /proc ./squashfs-root/proc

4.3 跨架构执行解密程序

使用chroot结合QEMU静态解释器运行目标程序：

# 设置环境变量 export QEMU_LD_PREFIX=./squashfs-root # 执行解密测试 sudo chroot ./squashfs-root /usr/bin/qemu-mipsel /bin/imgdecrypt --test

成功运行的典型输出特征：

Image decrypt tool v1.2 Valid encryption header found Test decryption successful

5. 完整解密流程与自动化脚本

5.1 手动解密步骤

1. 准备待解密固件：

cp DIR882A1_FW130B05.bin ./squashfs-root/tmp/

2. 在chroot环境中执行解密：

sudo chroot ./squashfs-root /usr/bin/qemu-mipsel /bin/imgdecrypt \ /tmp/DIR882A1_FW130B05.bin /tmp/decrypted.bin

3. 验证解密结果：

binwalk /tmp/decrypted.bin

5.2 自动化解密脚本

创建decrypt_firmware.sh自动化脚本：

#!/bin/bash # 参数检查 if [ $# -ne 2 ]; then echo "Usage: $0 <encrypted_firmware> <output_file>" exit 1 fi # 准备环境 FIRMWARE=$1 OUTPUT=$2 FS_ROOT="./squashfs-root" QEMU_BIN="$FS_ROOT/usr/bin/qemu-mipsel" DECRYPT_TOOL="$FS_ROOT/bin/imgdecrypt" # 复制固件到chroot环境 cp "$FIRMWARE" "$FS_ROOT/tmp/input.bin" # 执行解密 sudo chroot "$FS_ROOT" "$QEMU_BIN" "$DECRYPT_TOOL" \ /tmp/input.bin /tmp/output.bin # 提取解密结果 cp "$FS_ROOT/tmp/output.bin" "$OUTPUT" # 清理临时文件 rm "$FS_ROOT/tmp/input.bin" "$FS_ROOT/tmp/output.bin" echo "[+] Firmware decrypted to: $OUTPUT"

5.3 批量处理与验证

对于多版本固件解密，可使用如下批量处理命令：

for fw in encrypted/*.bin; do ./decrypt_firmware.sh "$fw" "decrypted/$(basename "$fw")" if ! binwalk "decrypted/$(basename "$fw")" | grep -q "Squashfs"; then echo "[-] Decryption failed for $fw" fi done

6. 技术难点与解决方案

6.1 常见执行错误处理

问题1：动态链接库缺失

/bin/imgdecrypt: line 1: syntax error: unexpected word (expecting ")")

解决方案：

# 检查文件类型 file ./squashfs-root/bin/imgdecrypt # 若为动态链接可执行文件，复制依赖库 cp -n ./squashfs-root/lib/*.so* /lib/x86_64-linux-gnu/

问题2：架构不匹配

qemu: uncaught target signal 11 (Segmentation fault) - core dumped

解决方案：

• 确认目标架构（使用file命令）
• 使用对应架构的QEMU解释器
• 添加-strace参数调试系统调用

6.2 性能优化技巧

1. 使用预加载减少QEMU开销：

export QEMU_LD_PREFIX=$(pwd)/squashfs-root sudo chroot ./squashfs-root /bin/sh -c "LD_PRELOAD=/lib/libcrypto.so.1.1 /usr/bin/qemu-mipsel /bin/imgdecrypt"

2. 内存磁盘加速：

# 将文件系统加载到tmpfs sudo mount -t tmpfs -o size=512M tmpfs ./squashfs-root/tmp

3. 并行解密处理：

parallel -j 4 ./decrypt_firmware.sh {} decrypted/{/} ::: encrypted/*.bin

7. 安全研究与拓展应用

7.1 漏洞挖掘工作流

成功解密固件后，典型的安全研究流程：

1. 文件系统分析：

   • 查找硬编码凭证（grep -ri "password" ./squashfs-root）
   • 检查SUID程序（find ./squashfs-root -perm -4000）

2. 服务审计：

   • 分析/etc/init.d/启动脚本
   • 检查开放端口与服务对应关系

3. Web应用测试：

   • 提取Web文件（cp -r ./squashfs-root/usr/www ./）
   • 使用lighttpd本地搭建测试环境

7.2 网络靶场集成

将解密技术应用于网络靶场建设的建议方案：

1. 固件仓库构建：

   • 按厂商/型号/版本分类存储加密固件
   • 建立自动化解密任务队列

2. 仿真环境配置：

# Dockerfile示例 FROM firmadyne/firmadyne # 添加解密工具 COPY qemu-mipsel /usr/bin/ COPY squashfs-root /firmadyne/ # 设置启动脚本 CMD ["/firmadyne/run.sh"]

3. 自动化扫描集成：
   • 在CI/CD流程中加入固件解密步骤
   • 与漏洞扫描工具（如BinAbsInspector）联动

8. 法律合规与伦理考量

在进行固件解密研究时，必须注意以下法律边界：

1. 授权范围：

   • 仅测试自己拥有所有权的设备
   • 企业研究需获得厂商书面授权

2. 数据保护：

   • 匿名化处理固件中的用户数据
   • 加密存储包含敏感信息的分析结果

3. 漏洞披露：

   • 遵循90天披露原则
   • 通过CVE等平台规范报告流程

典型的研究合规检查清单：

• [ ] 获得测试设备所有权证明
• [ ] 签署保密协议（如涉及第三方固件）
• [ ] 建立数据擦除流程
• [ ] 准备漏洞披露模板

在实际项目中，我们曾遇到DIR-882解密程序对DIR-878固件的兼容性问题。通过分析发现，虽然两个型号使用相同的加密头结构，但878固件在尾部添加了额外的校验字段。修改解密程序的输出缓冲区大小后成功解决，这印证了同厂商设备间的加密方案相似性。