FirmAE 模拟固件

青霄

已于 2024-05-24 14:46:20 修改

阅读量2.3k

点赞数 4

分类专栏： Firmware Security 文章标签： FirmAE 固件模拟

于 2023-08-08 16:55:44 首次发布

本文链接：https://blog.csdn.net/leiwuhen92/article/details/132170721

版权

Firmware Security 专栏收录该内容

9 篇文章 2 订阅

订阅专栏

一、介绍

FirmAE目标是创造一个可以供用户动态调试分析的环境，而不是复现和硬件一模一样的环境,，其卖点是大规模(Large-Scale)。

论文开头就直指“友商”Firmadyne，提出其模拟成功率低等问题，其将原本Firmadyne的成功率16.28%提高到79.36%，其底层还是使用了QEMU。FirmAE 从固件的启动、网络、NVRAM、内核和其它五个方面，总结了导致固件仿真失败的原因及通用解决方法。

FirmAE中主要集成了四种模式， check模式、run模式、analyze 模式、debug 模式。在固件仿真当中我们通常利用的是前两种模式check模式和run模式。check 模式会对固件进行 仲裁仿真（ arbitrated emulation ）的各项操作，将设备运行后，检查网络连通性和服务可用性，最后仿真退出，保存相关的日志信息记录在缓存文件中。run模式是根据 check模式构建的各种处理信息，进行仿真，在仿真程序时不会退出。

在漏洞检测方面，FirmAE根据固件的文件系统和内核日志来推断Web服务状态，其发现了23个设备的12个0DAY。

基于Firmadyne实现了原型系统FirmAE。其总框架如下图：

FirmAE的整体架构为如上图所示。 FirmAE用和Firmadyne相似的方法（使用预构建的自定义Linux内核和库）来仿真固件映像。它依然需要模拟目标镜像两次，以收集各种系统日志，并利用这些信息进行进一步的仿真，前一个仿真步骤称为预仿真，后一个称为最终仿真。

Automation： 为了进行大规模分析，FirmAE致力于完全自动化。实际上Firmadyne的许多步骤已经自动化了，但是仍然需要一些用户交互。例如，用户必须首先使用特定选项提取目标固件的文件系统。然后，他们评估是否成功提取文件系统并检索架构信息。随后，他们为QEMU制作固件镜像并在预仿真中收集信息。最后，他们运行最终仿真的脚本并执行动态分析。FirmAE自动化了所有这些交互，并添加了一个用于网络可达性和Web服务可用性的自动评估过程（为此，我们在FirmAE中构建了一个模块，定期运行ping和curl命令）。

Parallelizaton： FirmAE还使用Docker 将仿真并行化，以有效评估大量固件镜像。每个固件镜像在每个容器中独立仿真，该容器配备所有所需的软件包和依赖项。这使得能够快速可靠地仿真目标镜像。FirmAE通过运行多个容器实例来并行仿真固件。更多详细细节可参考 FirmAE论文。