前沿
摄像头是我们常见的IoT设备，它的安全关系着用户的隐私，而厂商为了防止逆向分析，在程序的实现上会使用各种方法来阻止逆向工程。本文通过某款知名的摄像头的逆向分析，简单介绍了我们是如何通过串口一步步的对摄像头中的关键程序进行逆向的方法，希望能为厂商的安全加固提供一些思路。
串口分析
直接拆开目标，处理器和FLASH在底座下面，通过分析可知道，该型号的摄像头使用了海思Hi3516A（ARM架构），FLASH为128MB，该FLASH引脚相对，拆焊比较费时间，于是试试能不能直接从串口中获取到固件。
发现PCB版上暴露了UART串口，其中通过万用表测量可知，最左边的焊盘为GND，最右边焊盘对地为3.3v，应该是Vcc，中间两个为Rx和Tx。
将UART接到TTL转USB，这时注意Rx和Tx如果接反串口无信息，这时调换以下就可以看到输出的打印信息。
打开对应的串口，设置波特率115200：
固件提取
按住Ctrl+B进入U-boot，这时可以在U-boot中提取出固件了 。
先看flash内存布局，开始的1M存放的是boot，后面是kernel，接着是program，关注点主要在kernel和program上，先把这些数据读取出来。
先将数据读到内存，然后md出来，再转成bin即可，这里演示是dump kernel的数据。其他FLASH数据也可通过该方法dump出来。
解密程序
使用binwalk可以直接解开提取到的固件数据，然而在分析过程中，我们发现一些程序是加密的，如下图所示，该文件原来应该是ELF程序，应该有ELF magic number，但是010 editor分析后发现这个程序是加密了。
有加密的地方就会有解密的地方，一般linux下对程序解密都是放在内核完成的，下一步我们需要分析该固件的内核，如下所示，高亮的地方为可以获取到该内核的真正加载地址：0xC0008000。
当设置正确的加载地址后，IDA已经可以识别出一大部分函数信息：
通过字符串引用信息快速定位了解密该程序的地方，该函数先判断了是否是ELF文件，是的话就不执行解密逻辑。如果确定程序加密后，先读取前32字节解密出AES密钥。
由于该算法很简单，直接复制到vs中进行调用，并且编译运行得到AES密钥：QdCpBsjP_**** _TY
后面是直接调用了AES-CBC进行解密，key和iv为解密得到的字符串：
解密脚本很简单，如下所示：
解密结果如下：
总结
本文简单介绍了串口提取固件的方法以及快速解密厂商自定义的程序加密的方法。通过以上工作，基本上为后续的分析扫除了障碍，当然，后面的漏洞挖掘工作还是一个不小的挑战，希望分析方法能给大家带来一些技术上的启发。
版权声明
本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司（“绿盟科技”）。作为分享技术资讯的平台，绿盟科技期待与广大用户互动交流，并欢迎在标明出处（绿盟科技-技术博客）及网址的情形下，全文转发。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。