OWASP固件安全测试方法

引言

随着智能设备的普及，IoT设备的安全性成为近年来关注的重点问题。有别于一般的Web安全，IoT安全的一个重要组成部分是固件的安全。对于IoT设备固件安全分析，OWASP给出了一个推荐的 流程。

无论是网联设备还是孤立的设备，固件都是嵌入式设备控制的核心。所以，了解如何通过操纵固件进行未授权的活动，并破坏整个系统生态的安全性是尤为重要的。当要进行安全评估，而进行安全性测试和固件逆向工程，可以使用以下方法作为指导。该方法由九个阶段组成，为进行固件安全评估的安全研究人员、软件开发人员、业余爱好者等而撰写。

方法

阶段	描述
1.信息收集与确认	获取有关目标设备固件的技术与文档
2.获取固件	使用所列出的方法获取固件
3.固件分析	检查目标固件的特性
4.提取文件系统	从目标固件刻画出文件系统
5. 分析文件系统	静态分析文件系统的配置文件，找出二进制漏洞
6.模拟固件	模拟固件的文件与组件
7.动态分析	对固件和应用程序接口进行动态安全测试
8.运行时分析	分析运行时编译的二进制数据
9.利用	利用找到的漏洞进行系统提权和任意代码执行